Публичното хранилище може да се превърне в отворена врата
При сканиране на 7.25 милиона публични хранилища в Gitee изследователи откриха 26,400 уникални идентификационни данни, които провериха и потвърдиха като работещи. Сред тях имало ключове за облачни платформи и AI услуги, включително 9,473 двойки AccessKey за Alibaba Cloud, 3,170 ключа за DeepSeek и 1,348 ключа за OpenAI.
Това са много ключове, оставени на място, където всеки може да ги намери. Но нека сме точни: „потвърдени като работещи“ означава, че идентификационните данни са работили при проверката. Това не доказва, че нападатели са ги използвали или че всеки ключ е останал активен след публикуването на докладите.
Изтриването на commit-а не отменя ключа
Изтеклите идентификационни данни могат да дадат достъп до всичко, което разрешават правата им. В зависимост от ключа това може да означава достъп до облачни ресурси и данни или използване на AI API, което незабелязано трупа разходи. А дори някой по-късно да премахне ключа от хранилището, негови копия може да останат в историята на commit-ите, разклоненията, логовете или изтеглените клонирани хранилища.
Тайната в публично хранилище е идентификационна информация, която трябва да смениш, а не просто ред код, който да изтриеш.
В оригиналния доклад от изследването са описани сканирането и проверките на идентификационните данни. Материалът на The Hacker News обобщава резултатите. Това е отделен набор от данни за Gitee, а не нов брой от скорошния обзор „Cyber Weekly: Secrets at Risk“ на CMS-а.
Какво да направиш, ако някой от тези ключове е твой
Ако екипът ти публикува код в Gitee, провери както текущите файлове, така и историята на хранилището за разкрити идентификационни данни. Ако откриеш такива, първо ги отмени при доставчика, а след това издай нови с минимално необходимите права. Провери и логовете за достъп и таксуване за неочаквана активност.
- Сканирай публичните хранилища и историята на commit-ите за тайни.
- Отмени разкритите ключове при услугата, която ги е издала. Не разчитай само на изтриването на commit-а.
- Провери логовете за използване, достъп и таксуване за активност, която не разпознаваш.
- Добави сканиране за тайни към работния процес на разработка, за да откриеш навреме следващото случайно качване.
Ако не си сигурен дали разкрит ключ все още представлява риск, приеми, че е компрометиран. Много по-лесно е да смениш идентификационните данни сега, отколкото по-късно да обясняваш неочаквана сметка за облачни услуги.
Заяви 15-минутна проверка за изтекли тайни
Ще ти помогнем да определиш какво да провериш първо, без ангажимент.