GitHub पर 100,000 रिपॉजिटरी में वर्गीकृत जानकारी के लीक

रहस्यों को इकट्ठा करने की कार्यप्रणाली में विभिन्न चरण शामिल हैं, जो आपको अंत में आत्मविश्वास की उच्च डिग्री के साथ वर्गीकृत जानकारी की पहचान करने की अनुमति देता है। वैज्ञानिक कार्य से चित्रण

आज खुला स्रोत प्रकाशन के लिए GitHub और इसी तरह के प्लेटफार्म डेवलपर्स के लिए मानक उपकरण बन गए हैं। हालाँकि, एक समस्या उत्पन्न होती है यदि यह ओपन सोर्स कोड प्रमाणीकरण टोकन, निजी एपीआई कुंजी और निजी क्रिप्टोग्राफ़िक कुंजियों के साथ काम करता है। सुरक्षा सुनिश्चित करने के लिए, इस डेटा को गुप्त रखा जाना चाहिए। दुर्भाग्य से, कई डेवलपर्स कोड में संवेदनशील जानकारी जोड़ते हैं, जो अक्सर आकस्मिक सूचना लीक की ओर जाता है।

उत्तरी कैरोलिना विश्वविद्यालय के शोधकर्ताओं की एक टीम ने गिटहब पर बड़े पैमाने पर वर्गीकृत डेटा लीक का अध्ययन किया । उन्होंने अरबों फाइलों को स्कैन किया, जिन्हें दो पूरक विधियों द्वारा एकत्र किया गया था:

• लगभग छह महीने के GitHub सार्वजनिक वास्तविक समय में स्कैन करते हैं
  
• सार्वजनिक रिपोजिटरी का स्नैपशॉट GitHub पर सभी रिपॉजिटरी के 13% को कवर करता है, कुल 4 मिलियन रिपोजिटरी।

निष्कर्ष निराशाजनक हैं। वैज्ञानिकों ने न केवल पता लगाया है कि लीक व्यापक हैं और 100,000 से अधिक रिपॉजिटरी को प्रभावित करते हैं। इससे भी बदतर, हजारों नए, अद्वितीय "रहस्य" हर दिन गिटहब को मिलते हैं।

तालिका लोकप्रिय सेवाओं के एपीआई और इस जानकारी के लीक से जुड़े जोखिमों को सूचीबद्ध करती है।



मिली गुप्त वस्तुओं पर सामान्य आँकड़े बताते हैं कि अक्सर Google API कुंजियाँ सार्वजनिक डोमेन में मिलती हैं। RSA निजी कुंजी और Google OAuth पहचानकर्ता भी आम हैं। आमतौर पर, लीक के विशाल बहुमत एकल-मालिक रिपॉजिटरी के माध्यम से होते हैं।

गुप्त	केवल	मेजबान	%, एक मालिक
Google API कुंजी	212 892	85 311	95.10%
RSA गुप्त कुंजी	158 011	37,781	90.42%
Google OAuth ID	106 909 है	47,814	96.67%
नियमित निजी कुंजी	30286	12,576	88.99%
अमेज़न AWS एक्सेस की आईडी	२६ ३ ९ ५	4648	91.57%
ट्विटर एक्सेस टोकन	20,760	7953	94.83%
निजी कुंजी चुनाव आयोग	7838	1584	74.67%
फेसबुक का उपयोग टोकन	6367	1715	97.35%
PGP निजी कुंजी	2091	684	82.58%
MailGun एपीआई कुंजी	1868	742	94.25%
MailChimp एपीआई कुंजी	871	484	92.51%
धारी मानक एपीआई कुंजी	542	213	91.87%
ट्विलियो एपीआई कुंजी	320	50	90.00%
स्क्वायर एक्सेस टोकन	121	61	96.67%
गुप्त वर्ग OAuth	28	19	94.74%
अमेज़न MWS प्रामाणिक टोकन	28	13	100.00%
ब्राइंट्री एक्सेस टोकन	24	8	87.50%
पिकाटिक एपीआई कुंजी	5	4	100.00%
केवल	575,456	201 642	93.58%

आवागमन के वास्तविक समय की निगरानी ने यह निर्धारित करना संभव कर दिया कि वहां पहुंचने के तुरंत बाद रिपॉजिटरी से कितनी संवेदनशील जानकारी निकाल दी जाती है। यह पता चला कि पहले दिन 10% से अधिक रहस्यों को हटा दिया जाता है, और अगले दिनों में कुछ प्रतिशत, हालांकि, निजी जानकारी का 80% से अधिक रिपॉजिटरी में इसके अलावा दो सप्ताह बाद भी रहता है, और यह अनुपात व्यावहारिक रूप से बाद में नहीं घटता है।

सबसे उल्लेखनीय लीक में से एक पूर्वी यूरोप के देशों में एक सरकारी एजेंसी से एक एडब्ल्यूएस खाता है, साथ ही हजारों निजी वीपीएन तक पहुंचने के लिए 7,280 निजी आरएसए कुंजी हैं।

अध्ययन बताता है कि एक हमलावर, यहां तक ​​कि न्यूनतम संसाधनों के साथ, कई GitHub उपयोगकर्ताओं से समझौता कर सकता है और निजी कुंजियों का एक टन पा सकता है। लेखक ध्यान दें कि कई मौजूदा सुरक्षा विधियां वर्गीकृत जानकारी के संग्रह के खिलाफ अप्रभावी हैं। उदाहरण के लिए, ट्रफलहॉग जैसे उपकरण केवल 25% दक्षता दिखाते हैं। एपीआई अनुरोधों की संख्या पर बिल्ट-इन GitHub सीमा भी बाईपास की गई है।

हालांकि, खोजे गए कई रहस्यों में स्पष्ट पैटर्न हैं जो इसे आसान बनाते हैं
उनकी खोज। यह मानना ​​तर्कसंगत है कि इन समान पैटर्न का उपयोग वर्गीकृत जानकारी के रिसाव की निगरानी और डेवलपर्स को चेतावनी देने के लिए किया जा सकता है। संभवतया, इस तरह के तंत्र को सर्वर की तरफ, यानी गिटहब पर लागू किया जाना चाहिए। एक सेवा एक कमिट के दौरान एक चेतावनी जारी कर सकती है।

GitHub ने हाल ही में टोकन स्कैनिंग ( टोकन स्कैनिंग फ़ंक्शन) का एक बीटा संस्करण लागू किया है, जो रिपॉजिटरी को स्कैन करता है, टोकन खोजता है और सूचना रिसाव के सेवा प्रदाताओं को सूचित करता है। बदले में, विक्रेता इस कुंजी को रद्द कर सकता है। लेखकों का मानना ​​है कि अपने शोध के लिए धन्यवाद, GitHub इस सुविधा में सुधार कर सकता है और विक्रेताओं की संख्या का विस्तार कर सकता है।