Microsoft menghadapi kritikan daripada pakar keselamatan siber atas pengendalian data sensitif dalam OneDrive for Business.
Penyelidikan mendedahkan bahawa perkhidmatan menyimpan metadata pengiktirafan aksara optik (OCR) yang diekstrak dari imej dalam format yang tidak dilindungi pada peranti pengguna.
Penemuan ini menimbulkan persoalan mengenai keselamatan dan privasi perkhidmatan penyimpanan awan yang digunakan secara meluas Microsoft, terutamanya untuk pelanggan perusahaan yang bergantung kepadanya untuk menguruskan data sensitif.
tvestigation oleh pakar keselamatan siber Brian Maloney, yang terkenal dengan analisis forensik terperinci yang diterbitkan di blognya.
Berkaitan: Kritikal Microsoft MFA Loophole mendedahkan berjuta-juta akaun pengguna
Maloney mendapati bahawa data OCR, bersama dengan metadata lain, disimpan dalam pangkalan data SQLite yang dinamakan Microsoft.LinkSync.db dalam ciri mod luar talian OneDrive.
Pangkalan data ini, yang terletak di storan tempatan pengguna, tidak disulitkan, menjadikannya mudah diakses oleh sesiapa sahaja yang mempunyai akses fizikal atau pentadbiran ke peranti.”Bagaimanakah data ini dapat’disimpan dengan selamat’apabila tidak ada perlindungan pada pangkalan data?”, Maloney menulis dalam analisisnya.”Saya dapat merebut pangkalan data ini dan menyalinnya ke mana sahaja saya mahu, membukanya dan melihatnya. Satu lagi peranti.”
Kekurangan penyulitan menimbulkan risiko yang signifikan kepada pengguna perusahaan, yang kebanyakannya beroperasi di bawah keperluan pengawalseliaan yang ketat seperti HIPAA dalam penjagaan kesihatan atau GDPR di Kesatuan Eropah.
Data OCR yang tidak dilindungi boleh termasuk maklumat sensitif yang diekstrak daripada kontrak yang diimbas, invois, atau dokumen sulit yang lain, yang berpotensi membawa kepada pelanggaran pematuhan atau pelanggaran data. Strong> Amazon menghentikan $ 1 bilion microsoft 365 pelancaran atas kebimbangan keselamatan siber
mod luar talian dan risiko yang tidak diingini
mod luar talian OneDrive diumumkan pada akhir 2023, dengan umum Ketersediaan melancarkan pada tahun 2024. Ciri ini direka untuk membolehkan pengguna menguruskan fail, termasuk melihat, menyusun, menamakan semula, dan menyalin, tanpa memerlukan sambungan Internet. Ini dicapai dengan menyimpan metadata fail secara tempatan, memastikan akses lebih cepat ke fail semasa gangguan atau gangguan.
Microsoft menggambarkan ciri ini sebagai peningkatan produktiviti. Menurut dokumentasi rasminya,”Untuk mencapai ini, satu salinan metadata fail anda yang menguasai aplikasi web OneDrive disimpan secara tempatan di dalam peranti anda. Data-data ini pada peranti anda hanya tersedia untuk anda.”.
Simpan gambar OneDrive, menyimpan data OCR’d dalam teks biasa di dalam negara, dan menjadikannya mudah diakses tanpa keistimewaan pentadbiran?”Ya”-Hasrat anda telah menjadi kenyataan! Microsoft melakukan OCR pada semua imej fail yang disimpan untuk OneDrive Business ™! Sebarang imej yang disimpan dengan OneDrive disimpan secara tempatan dalam fail SQLite (untuk mod luar talian, atau sesuatu).
Kajian ini dijalankan oleh @bmmalononey97 . Saya bercakap dengan… pic.twitter.com/frx1rr8hmk