NoSQL breakdown : a large-scale analysis of misconfigured NoSQL services

NoSQL databases are efficient, scalable, and reliable mechanisms for storing and retrieving data in modern service infrastructures. These databases are accessible through easy-to-use tools that allow even non-expert users to deploy them. With the growth of their popularity, the amount of sensitive information stored has increased significantly, raising security and privacy concerns. While most NoSQL services offer access control mechanisms, these are often complex to configure, manage, and are not enabled by defaults, resulting in misconfigurations that may lead to the exposure of sensitive data. In this thesis, we present a comprehensive, large-scale analysis of the misconfigurations of the most popular NoSQL databases, focusing on automatically discovering misconfiguration that would lead to security and privacy issues. In particular, we developed a tool that automatically scans large IP subnets to detect the exposed services and performs security checks, without storing nor exposing any sensitive data. We analyzed 67.725.641 IP addresses between October 2019 and March 2020, spread across several cloud services providers, and we found 12.276 misconfigured databases. The risks associated with exposed services range from data leaks, which pose a significant risk for the privacy of users, to tamper with resources inside the vulnerable databases. We also found 742 potentially vulnerable websites that leverage misconfigured databases having write permissions enabled to anonymous users. Finally, we highlight the main built-in security features of the analyzed applications and propose the best practices to secure data-driven web applications.

I database NoSQL sono sistemi scalabili, distribuiti e altamente efficienti. Questi servizi permettono anche ad utenti non esperti di creare facilmente un database funzionante. Con la crescita della loro popolarità, la quantità di informazioni sensibili memorizzate è aumentata in modo significativo, sollevando preoccupazioni in materia di sicurezza e privacy. Sebbene la maggior parte dei servizi NoSQL offra meccanismi di controllo degli accessi, questi sono spesso complessi da configurare e non fanno parte della configurazione iniziale, spesso causando una non voluta esposizione di dati sensibili. In questa tesi presentiamo un'analisi a larga scala di servizi NoSQL al fine di individuare errori di configurazione ad essi correlati e misurare l’impatto che essi generano. Nel dettaglio, abbiamo sviluppato uno strumento che esegue automaticamente la scansione di grandi blocchi di indirizzi IP per rilevare i servizi esposti ed eseguire controlli di sicurezza, senza archiviare né esporre dati sensibili. Abbiamo analizzato 67.725.641 indirizzi IP provenienti da diversi fornitori di servizi cloud tra Ottobre 2019 e Marzo 2020 e abbiamo trovato 12.276 database pubblicamente accessibili. I rischi associati ai servizi esposti vanno dalla fuga di dati, che rappresentano un pericolo significativo per la privacy degli utenti, alla manomissione delle risorse presenti al loro interno. Abbiamo anche trovato 742 siti potenzialmente vulnerabili che utilizzano database con permessi di scrittura abilitati ad utenti anonimi. Infine, illustriamo le principali funzionalità di sicurezza delle applicazioni analizzate e proponiamo le migliori pratiche per proteggere le applicazioni web che si basano sui database.