Power BI – luka bezpieczeństwa?

Usługa powerbi.com pozwala na darmowe utworzenie konta. W celu utworzenia takiego konta należy jednak użyć adresu email, który pochodzi z firmy lub organizacji. W przypadku podania adresu email, który zarejestrowany został u popularnego i publicznego dostawcy dostaniemy stosowny komunikat:

Okazuje się jednak, że nie jest (do końca) prawda. Wygląda na to, że Microsoft posiada po prostu listę dostawców i zwyczajnie blokuje niektóre domeny. Lista ta natomiast nie jest pełna i można obejść to zabezpieczenie. Wystarczy skorzystać z mniej popularnego dostawcy kont pocztowych. Warto tylko pamiętać o tym, że niektórzy dostawcy blokują rejestrowanie kont w powerbi.com. Wystarczy natomiast tylko sprawdzić, które konto możemy wykorzystać. Jeżeli dostawca blokuje taką możliwość dostaniemy następującą informację:

 

Z moich obserwacji wynika, że większość mniejszych lub lokalnych dostawców zezwala jednak na rejestracje kont z użyciem ich adresów email. Wtedy oczywiście bez przeszkód zarejestrujemy swoje konto i będziemy mogli korzystać z usług powerbi.com.

Kolejny problem, ewentualnie luka, pojawia się wówczas, gdy chcemy przetestować współdzielenie raportów. Oczywiście, aby przetestować taki scenariusz najprościej jest użyć dwóch różnych kont email oraz założyć dwa różne konta powerbi.com, a następnie udostępnić kokpit drugiemu użytkownikowi. Zobaczymy wówczas standardowy formularz współdzielenia raportu oraz (uwaga!) wszystkie osoby z naszej organizacji (z zarejestrowanej domeny), które posiadają konto powerbi:

Oczywiście usługa działa poprawnie i jest to zachowanie zupełnie oczekiwane w chwili, kiedy korzystamy z firmowego konta email. W przypadku korzystania z publicznego dostawcy adresów email zobaczymy jednak adresy email zupełnie obcych ludzi, co może już być bardziej kontrowersyjne i, co być może będzie pomocne dla potencjalnego hakera. Czy sprawa jest bardzo poważna i na ile jest to realne zagrożenie to pytanie do eksperta ds bezpieczeństwa, natomiast fakt faktem w tej sytuacji jesteśmy w stanie podejrzeć prywatne adresy email. Niniejszy problem został zgłoszony na http://community.powerbi.com/

Jakie jest rozwiązanie według mnie? Przede wszystkim umożliwić zakładanie kont dla prywatnych użytkowników o co społeczność Power BI prosi już od dawna!

Slawomir Drzymala
Follow me on

7 Comments

  1. O ile lubię oprogramowanie Microsoft, to nie lubię polityki tej firmy. Sprawa z nachalną promocją “dziesiątką” jest tak oczywista, że w tym momencie pomijam to. Ale zdenerwowało mnie to, że za to że jestem posiadaczem legalnie kupionej wersji Visty, zostałem ukarany niemożnością aktualizacji do Win10. Ale teraz chodzi mi o inne produkty. A jak ktoś ma służbowy adres na Gmail? A czy mój adres email na Outlook-u będzie odpowiedni, czy Microsoft ma go na liście zbanowanych dostawców kont pocztowych? Inna dziwna rzecz, to wymóg posiadania karty kredytowej do skorzystania z Azure w wersji trial. Mam konto Microsoft, adres na Outlook-u, firma MS zweryfikowała mnie przez telefon, ale i tak nie mogę przetestować triala Azure, bo nie mam karty kredytowej. Przecież nie pójdę wyrabiać sobie karty kredytowej do jakiegoś banku, tylko po to aby przez kilka dni sprawdzić jak działają usługi w chmurze.

  2. W przypadku Power BI konto zarejestrowane w gmail czy outlook oczywiście nie zadziała.
    Odnośnie konta trial w Azure to też się nad tym zastanawiałem. Osobiście kartę kredytowa mam, więc problem mnie de facto nie dotyczy, ale kiedyś też to przekliknałem. Próbujac jednak odpowiedzieć sobie na pytanie dlaczego zawsze tłumaczyłem to sobie kwestiami bezpieczeństwa. Załóżmy, że ktoś chciałby za pomoca wersji trial przeprowadzić jakiś atak na inna maszyne, czy też zwykły DDOS. Być może to jest właśnie odpowiedź? Chociaż z drugiej strony osoba, która faktycznie chciałaby to wykorzystać bez problemu zdobędzie “anonimowa” kartę prepaid i tego dokona… Wierzę jednak, że jakiś powód jest…

  3. Konto na Outlooku nie zadziała? Ja to pytanie napisałem tak dla żartu, bo byłem przekonany że oczywiście Outlook gwarantuje dostęp do PowerBI. Rozmawiałem z osobą pracującą z chmurą AWS. Mieli przypadek ataku DDoS. Po jednym telefonie do USA (tam był środek nocy), w ciągu 20 minut od zgłoszenia było już wszystko zażegnane, i po sprawie. A o ile dobrze pamiętam, AWS też chce mieć wgląd w kartę kredytową potencjalnego klienta. Zatem taka karta nie zagwarantuje tego że ktoś nie przeprowadzi ataku, ale za to pewnie zagwarantuje Microsoftowi wgląd w konto bankowe właściciela karty. Podobnie jak pracownicy Microsoft przeszukują mi zawartość OneDrive i na podstawie tego co tam mam, dzwonią do mnie z ofertami handlowymi. Wybacz że wylewam tu swoje żale, ale oddzielam sprawy fajnego SQL Server-a od niefajnej polityki firmy MS.

  4. Nigdy nie zastanawiałem się nad kwestią, którą poruszyłeś 🙂 Wydaje mi się, że faktycznie najlepszą opcją byłoby pozwolenie użytkownikom prywatnym na korzystanie z usługi Power BI.

    • Nie można powiedzieć, że Microsoft nie robi dobrych posunięć biznesowych. Za te dobre uważam np. umożliwienie pracy SQL Server-a na Linuxie, czy udostępnianie tego RDMS w wersji Express. To drugie umożliwia łatwe rozpowszechnienie i spopularyzowanie oprogramowania wśród wszystkich chętnych, i dogłębne zapoznanie się z nim. Ale utrudnianie dostępu do Azure osobom zainteresowanym technologią chmurową MS, to jest już raczej złe posunięcie biznesowe. Zamiast zachęcać potencjalnych użytkowników do poznawania czegoś co w krótkim czasie stanie się pewnie jednym z głównych filarów branży IT, to Microsoft i chyba też Amazon skutecznie to utrudniają. A przecież mogliby udostępnić wersję demo z zablokowanymi jakimiś opcjami, tymi kluczowymi dla spraw bezpieczeństwa. Podobnie jest z PowerBi. Nie tak dawno czytałem, że Microsoft trochę przespał czas gdy różne firmy zaczynały produkcję oprogramowania do BI, i teraz musi nadrabiać zaległości. Czy zatem nie jest lepiej umożliwić ewentualnym przyszłym klientom zapoznanie się z wersją trial albo demo, bez piętrzenia im problemów z rejestracją za pomocą jakiś wyszukanych adresów email? Sławku, napisałeś tak “W celu utworzenia takiego konta należy jednak użyć adresu email, który pochodzi z firmy lub organizacji”. Ale czy chodzi o to aby dany adres był zarejestrowany na jakąś firmę prowadzącą działalność gospodarczą (chyba o to, prawda?), czy o to aby adres był wykupiony w komercyjnej firmie oferującej hosting i domeny? Na przykład ja mam adres email zbudowany w ten sposób: kontakt@imie-nazwisko.pl w którym oczywiście jest moje prawdziwe imię i nazwisko. Ciekawe jak PowerBi potraktuje taki adres?

      • Poprzez niektóre ograniczenia w zakładaniu kont tekstowych do np. Azure myślę, że Microsoft chce ograniczyć trochę dostępność ponieważ za każdą maszyną stoją konkretne zasoby sprzętowe przede wszystkim pamięć, rdzenie itp. jakby każdy deweloper stworzył swoją maszynę to powstała by gigantyczna pula zasobów za które Microsoft nie zarabiał by ani złotówki, a utrzymanie tychże mogłoby być bardzo kosztowne – dlatego muszą to jakoś limitować. Oczywiście to tylko moja teoria ale moim zdaniem ma solidne podstawy.

        Co do tego czy Microsoft przespał czy też nie fazę narzędzi BI to można dyskutować. Obecnie są posiadaczami jednego z najlepszych o ile nie najlepszego silnika OLAP jakim jest Analysis Services, bardzo dobry silnik bazodanowy wspierający hurtownie danych jakim jest SQL Server i Integration Services, którego możliwości tworzenia procesów ETL są naprawdę duże. Ponadto samoobsługowy BI umożliwiający prawdziwe samodzielne tworzenie analiz w postaci Excel + dodatki analityczne co najmniej od roku 2010 wygląda bardzo dobrze. Tak więc BI od MS ma się bardzo dobrze od dawna. Moim skromnym zdaniem jedyne co Microsoft przespał to warstwa wizualizacji danych – ponieważ Reporting Services nie otrzymał żadnej większej aktualizacji od SQL Server 2008R2 i dopiero teraz w SQL Server 2016 ktoś się tym zajął. Widać, że chcą nadrabiać zaległości wizualizacyjne tworząc Power BI, który wyrasta powoli na jednego z liderów wizualizacji i może konkurować z takimi narzędziami jak QlikView czy też Tableau. Miejmy nadzieję, że narzędzia ta będą rozwijane tak mocno jak teraz.

        • Ciekawe uwagi. Bardzo rzeczowo wyjaśniona sprawa MS, trudno się z tym nie zgodzić. Jak to zwykle bywa, warto poznać opinie różnych osób.

Leave a Reply