搜索

[5787] 2019-03-24_超过10万个GitHubrepos泄露了API或加密密钥

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-17
2019-03-24_超过10万个GitHubrepos泄露了API或加密密钥 超 过 1 0 万 个 G i t H u b   r e p o s 泄 露 了 A P I 或 加 密 密 钥 原 创   E 安 全   E 安 全   2 0 1 9 - 0 3 - 2 4 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m 小 编 来 报 ： 小 编 来 报 ： 研 究 人 员 对 G i t H u b 所 有 公 共 资 源 库 中 1 3 % 的 文 件 进 行 了 扫 描 ， 发 现 超 过 1 0 万 个 r e p o s 泄 露 了 A P I 令 牌 和 加 密 密 钥 。 据 外 媒 报 道 ， 在 6 个 月 的 时 间 里 ， 研 究 人 员 对 G i t H u b 所 有 公 共 资 源 库 中 1 3 % 的 文 件 进 行 了 扫 描 ， 发 现 超 过 1 0 万 个 r e p o s 泄 露 了 A P I 令 牌 和 加 密 密 钥 。   这 是 美 国 北 卡 罗 来 纳 州 立 大 学 （ N C S U ） 的 一 个 团 队 进 行 的 学 术 研 究 ， 研 究 结 果 已 与 G i t H u b 共 享 。 G i t H u b 根 据 研 究 结 根 据 研 究 结 果 加 快 了 新 安 全 功 能 令 牌 扫 描 （ 果 加 快 了 新 安 全 功 能 令 牌 扫 描 （ T o k e n   s c a n ） 的 开 发 ， 该 功 能 目 前 处 于 ） 的 开 发 ， 该 功 能 目 前 处 于 b e t a 测 试 阶 段 。 测 试 阶 段 。   学 者 们 扫 描 了 数 十 亿 G i t H u b 文 件   N C S U 对 G i t H u b 的 扫 描 研 究 是 迄 今 为 止 最 全 面 、 最 深 入 的 。 从 2 0 1 7 年 1 0 月 3 1 日 到 2 0 1 8 年 4 月 2 0 日 ， N C S U 的 学 者 对 G i t H u b
账 户 进 行 了 近 6 个 月 的 扫 描 ， 搜 索 A P I 令 牌 和 加 密 密 钥 等 格 式 的 文 本 字 符 串 。   他 们 不 仅 使 用 G i t H u b   S e a r c h   A P I 来 查 找 这 些 文 本 模 式 ， 还 查 看 了 记 录 在 谷 歌 的 B i g Q u e r y 数 据 库 中 的 G i t H u b 资 源 库 。   三 人 组 成 的 N C S U 团 队 表 示 ， 他 们 使 用 G i t H u b 搜 索 A P I 捕 获 并 分 析 了 6 8 1 , 7 8 4 个 r e p o s 的 4 , 3 9 4 , 4 7 6 个 文 件 ， 以 及 谷 歌 的 B i g Q u e r y 数 据 库 中 记 录 的 3 , 3 7 4 , 9 7 3 个 r e p o s 中 的 2 , 3 1 2 , 7 6 3 , 3 5 3 个 文 件 。   N C S U 团 队 扫 描 了 1 1 家 公 司 的 A P I 令 牌   在 这 一 大 堆 文 件 中 ， 研 究 人 员 寻 找 以 特 定 A P I 令 牌 或 加 密 密 钥 格 式 的 文 本 字 符 串 。   由 于 并 非 所 有 A P I 令 牌 和 加 密 密 钥 都 是 相 同 的 格 式 ， N C S U 团 队 决 定 使 用 团 队 决 定 使 用 1 5 种 种 A P I 令 牌 格 式 令 牌 格 式 ( 来 自 来 自 1 1 家 公 司 的 家 公 司 的 1 5 个 服 个 服 务 ， 其 中 务 ， 其 中 5 个 来 自 个 来 自 A l e x a   T o p   5 0 ) 和 和 4 种 加 密 密 钥 格 式 。 种 加 密 密 钥 格 式 。   其 中 包 括 G o o g l e 、 A m a z o n 、 T w i t t e r 、 F a c e b o o k 、 M a i l c h i m p 、 M a i l G u n 、 S t r i p e 、 T w i l i o 、 S q u a r e 、 B r a i n t r e e 和 P i c a t i c 使 用 的 A P I 关 键 格 式 。 结 果 很 快 就 出 来 了 ， 在 这 个 研 究 项 目 中 ， 每 天 都 有 成 千 上 万 的 A P I 和 密 钥 泄 漏 被 发 现 。  
N C S U 团 队 表 示 ， 他 们 总 共 发 现 了 他 们 总 共 发 现 了 5 7 5 , 4 5 6 个 个 A P I 和 加 密 密 钥 ， 其 中 有 和 加 密 密 钥 ， 其 中 有 2 0 1 , 6 4 2 个 是 唯 一 的 ， 它 们 分 布 在 超 过 个 是 唯 一 的 ， 它 们 分 布 在 超 过 1 0 0 , 0 0 0 个 个 G i t H u b 项 目 中 。 项 目 中 。   研 究 团 队 在 他 们 的 学 术 论 文 中 发 现 ， 使 用 谷 歌 搜 索 A P I 发 现 的 “ 秘 密 ” 和 通 过 谷 歌 B i g Q u e r y 数 据 集 发 现 的 “ 秘 密 ” 几 乎 没 有 重 复 。   此 外 ， 大 多 数 大 多 数 A P I 令 牌 和 加 密 密 钥 （ 令 牌 和 加 密 密 钥 （ 9 3 . 5 8 % ） 来 自 个 体 帐 户 ， ） 来 自 个 体 帐 户 ， 这 表 明 大 多 数 A P I 和 加 密 密 钥 是 正 在 使 用 的 有 效 令 牌 和 密 钥 ， 因 为 用 户 组 帐 户 通 常 有 用 于 共 享 测 试 环 境 和 开 发 代 码 的 测 试 令 牌 。   泄 漏 的 A P I 和 加 密 密 钥 在 网 上 挂 了 几 个 星 期   研 究 人 员 观 察 了 账 户 所 有 者 是 否 会 意 识 到 A P I 和 加 密 密 钥 的 泄 露 。 结 果 显 示 ， 他 们 跟 踪 的 6 % 的 A P I 和 加 密 密 钥 在 泄 露 后 一 小 时 内 被 删 除 ， 这 表 明 这 些 G i t H u b 的 所 有 者 立 即 意 识 到 了 安 全 问 题 。   超 过 超 过 1 2 % 的 密 钥 和 令 牌 在 一 天 之 后 就 不 见 了 ， 而 的 密 钥 和 令 牌 在 一 天 之 后 就 不 见 了 ， 而 1 9 % 的 密 钥 和 令 牌 则 可 以 保 留 的 密 钥 和 令 牌 则 可 以 保 留 1 6 天 之 久 。 天 之 久 。  
研 究 小 组 发 现 了 一 些 重 要 的 泄 密 数 据 。 研 究 人 员 发 现 了 研 究 人 员 发 现 了 5 6 4 个 谷 歌 个 谷 歌 A P I 密 钥 ， 密 钥 ， 这 些 密 钥 被 一 个 在 线 站 点 用 来 绕 过 Y o u T u b e 的 速 率 限 制 ， 并 下 载 Y o u T u b e 上 的 视 频 ， 这 些 视 频 随 后 被 托 管 在 另 一 个 视 频 共 享 门 户 网 站 上 。   研 究 人 员 还 在 研 究 人 员 还 在 O p e n V P N 配 置 文 件 中 发 现 了 配 置 文 件 中 发 现 了 7 2 8 0 个 个 R S A 密 钥 。 密 钥 。 通 过 查 看 这 些 配 置 文 件 中 的 其 他 设 置 ， 研 究 人 员 表 示 ， 绝 大 多 数 用 户 已 经 禁 用 了 密 码 验 证 ， 并 且 完 全 依 赖 R S A 密 钥 进 行 验 证 ， 发 现 这 些 密 钥 的 人 可 以 访 问 数 千 个 私 有 网 络 。   北 卡 罗 莱 纳 州 立 大 学 计 算 机 科 学 系 助 理 教 授 B r a d   R e a v e s 表 示 ， 由 于 这 类 泄 漏 非 常 普 遍 ， 很 难 通 知 所 有 受 影 响 的 开 发 商 。 而 且 ， 研 究 人 员 没 有 办 法 大 规 模 获 取 G i t H u b 开 发 人 员 的 联 系 信 息 。   这 一 事 件 表 明 ， 对 新 手 和 专 家 来 说 ， 开 放 源 代 码 软 件 库 中 的 证 书 管 理 仍 然 具 有 挑 战 性 。 这 一 事 件 表 明 ， 对 新 手 和 专 家 来 说 ， 开 放 源 代 码 软 件 库 中 的 证 书 管 理 仍 然 具 有 挑 战 性 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 一 名 立 陶 宛 男 子 从 谷 歌 和 F a c e b o o k 处 诈 骗 获 得 1 . 2 3 亿 美 元 对 抗 勒 索 软 件 仅 需 两 步 如 何 确 保 现 代 世 界 的 工 业 物 联 网 安 全 新 加 坡 又 双 叒 叕 有 数 据 泄 露 事 件 ， 政 府 职 员 邮 箱 密 码 在 暗 网 出 售 从 委 内 瑞 拉 大 停 电 事 件 看 电 力 系 统 安 全 防 护 注 意 ！ N S A 逆 向 工 程 工 具 存 在 远 程 代 码 执 行 漏 洞 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理