事件背景

微软最终披露了导致2023年7月风暴-0558攻击事件的消费者签名密钥被盗细节，但许多关键问题仍未解决。该技术巨头上周发布技术调查报告，揭示与中国有关的威胁行为者如何获取微软账户（MSA）消费者签名密钥，该密钥被用于伪造Outlook Web Access和Outlook.com的身份验证令牌。

技术漏洞分析

根据微软报告，2021年4月的一次消费者签名系统崩溃导致进程快照生成，由于竞态条件问题（微软称已修复），MSA密钥被错误包含在崩溃转储文件中。风暴-0558很可能在2021年4月后通过入侵微软工程师的企业账户获取该密钥，该账户具有访问包含密钥的调试环境的权限。

未解技术疑点

尽管微软声称技术调查已结束，但其响应中心公告仍缺失重要细节。云安全厂商Wiz在9月7日的博客中提出多项技术性质疑，包括：

• 工程师账户具体何时被入侵？
• 风暴-0558最早可能在何时获取MSA密钥？
• 密钥在崩溃转储中的存储机制是否存在其他安全隐患？

攻击影响范围

风暴-0558使用被盗密钥攻击了25个组织，包括美国政府机构。该事件暴露出企业签名密钥管理、调试环境访问控制和崩溃处理流程中存在重大安全缺陷。