04 Juni 2011
Saat menggunakan Amazon Machine Image (AMI), Anda harus selalu ingat untuk melakukan langkah pencegahan yang tepat guna memastikan bahwa kredensial penting tidak meninggalkan AMI secara tidak sengaja saat dibagikan secara publik. Kami baru saja menyadari beberapa situasi di mana pelanggan membuat dan membagikan kredensial ke publik tanpa mereka ketahui.
Dalam kasus di mana AWS telah diberitahu tentang pelanggan yang secara tidak sengaja mengekspos kredensial akses AWS dan pihak ketiga dalam AMI publik yang dibuat dan dibagikan, AWS telah menghubungi pelanggan ini, dan mendorong mereka untuk membuat AMI terkait menjadi pribadi dan segera mengubah kredensial mereka yang terbuka. Dalam kasus di mana pelanggan yang terkena dampak tidak dapat segera dihubungi, AWS telah membuat AMI terkait menjadi pribadi atas nama pelanggan untuk mencegah pemaparan lebih lanjut dari kredensial akses AWS pribadi mereka juga pihak ketiga.
Dalam kasus di mana AWS telah diberitahu tentang AMI publik yang berisi kunci SecureShell (SSH) publik yang telah diinstal sebelumnya, yang secara efektif memberikan penerbit AMI akses jarak jauh ke setiap instans AMI yang berjalan, AWS telah menghubungi penerbit AMI dan mengharuskan penerbit AMI untuk membuat AMI yang terkait menjadi pribadi. Dalam kasus di mana penerbit AMI tidak dapat segera dihubungi, atau tidak membuat AMI terkait menjadi pribadi dengan cepat, AWS telah membuat AMI terkait menjadi pribadi untuk melindungi pelanggan kami. Selain itu, semua pelanggan yang teridentifikasi menjalankan instans dari AMI yang terkena dampak telah diberitahu dan disarankan untuk menghapus kunci SSH publik yang telah diinstal sebelumnya yang menyinggung, secara efektif memblokir akses jarak jauh oleh penerbit AMI. Pelanggan teridentifikasi yang menjalankan instans dari AMI yang terpengaruh juga sangat disarankan untuk membuat cadangan data yang ada dan bermigrasi ke AMI yang lebih baru, jika tersedia.
Kami tidak menerima laporan bahwa kerentanan ini telah dieksploitasi secara aktif. Dokumen ini bertujuan untuk mengingatkan pengguna bahwa sangatlah penting untuk mencari dengan saksama dan menghapus kredensial penting apa pun dari AMI sebelum membuatnya tersedia secara publik. Dokumen ini bertujuan untuk mengingatkan pengguna bahwa sangatlah penting untuk mencari dengan saksama dan menghapus kredensial penting apa pun dari AMI sebelum membuatnya tersedia secara publik. Tutorial tentang cara membagikan dan menggunakan AMI publik dengan aman dapat ditemukan di sini: http://aws.amazon.com/articles/0155828273219400
Panduan lebih lanjut tentang membagikan AMI dengan aman dapat ditemukan di sini: http://docs.amazonwebservices.com/AWSEC2/latest/UserGuide/index.html?AESDG-chapter-sharingamis.html
Mengikuti panduan ini dapat menghasilkan pengalaman pengguna yang lebih baik, membantu memastikan instans pengguna tetap aman, dan dapat melindungi penerbit AMI.
Pelanggan harus melaporkan masalah keamanan apa pun terkait AMI publik ke Keamanan AWS, aws-security@amazon.com