搜索

[9013] 2015-06-10_GitHub账户被黑：旧漏洞导致弱密钥大量留存

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-17
2015-06-10_GitHub账户被黑：旧漏洞导致弱密钥大量留存 G i t H u b 账 户 被 黑 ： 旧 漏 洞 导 致 弱 密 钥 大 量 留 存 F r e e B u f   2 0 1 5 - 0 6 - 1 0 微 信 号 ： 微 信 号 ： f r e e b u f 又 见 历 史 原 因 导 致 的 安 全 隐 患 又 见 历 史 原 因 导 致 的 安 全 隐 患 在 七 年 前 开 发 人 员 发 现 G i t H u b 存 在 一 个 灾 难 性 的 漏 洞 之 后 ， G i t H u b 已 经 关 闭 了 数 量 不 明 的 通 过 密 钥 访 问 的 账 户 。 G i t h u b 允 许 授 权 用 户 登 录 到 隶 属 于 S p o t i f y 、 Y a n d e x 和 英 国 政 府 的 公 共 仓 库 账 户 中 ， 而 这 些 公 共 仓 库 账 户 却 使 用 了 由 当 时 存 在 缺 陷 的 L i n u x 发 行 版 本 D e b i a n 生 成 的 S S H 密 钥 ， 而 这 部 分 密 钥 是 不 安 全 的 — — 其 密 钥 的 位 数 太 少 以 至 于 可 以 枚 举 导 致 暴 力 破 解 ， 分 分 钟 登 录 这 些 存 在 威 胁 的 账 户 中 。 七 年 后 ， D e b i a n 社 区 的 朋 友 们 修 复 了 b u g 并 且 提 醒 用 户 取 消 旧 的 密 钥 而 重 新 生 成 一 个 。 伦 敦 的 开 发 人 员 B e n   C a r t w r i g h t - c o x 说 ， 他 发 现 了 这 一 漏 洞 仍 然 存 在 于 海 量 密 钥 中 ， 而 这 些 密 钥 因 位 数 不 足 比 较 容 易 被 人 攻 击 利 用 。 C a r t w r i g h t - c o x 在 周 一 发 表 的 博 文 中 称 ： “ 如 果 你 刚 刚 或 者 正 收 到 一 封 关 于 密 钥 被 撤 销 的 邮 件 ， 那 请 你 务 必 仔 细 浏 览 并 且 确 保 确 实 没 有 人 攻 击 你 。 如 果 你 使 用 了 存 在 问 题 的 密 钥 ， 你 可 能 已 经 遭 到 了 黑 客 的 攻 击 。 ” 密 钥 数 量 密 钥 数 量 有 限 ？ 有 限 ？ C a r t w r i g h t - C o x 在 G i t H u b 上 发 现 了 大 约 9 4 个 包 括 D e b i a n 衍 生 缺 陷 的 密 钥 。 3 月 份 他 向 G i t H u b 官 方 报 告 之 后 ， 才 发 现 实 际 用 户 数 量 要 高 得 多 。 G i t H u b 于 上 月 撤 销 了 这 些 密 钥 ， 目 前 G i t H u b 官 方 没 有 作 出 其 他 回 应 。 此 外 ， C a r t w r i g h t - c o x 发 现 了 九 个 G i t H u b   S S H 密 钥 b i t s 数 量 存 在 严 重 不 足 。 其 中 有 两 个 只 包 含 2 5 6 位 ， 导 致 他 能 够 在 不 到 一 小 时 内 克 隆 出 密 钥 ， 而 剩 余 的 其 他 7 个 密 钥 都 只 有 5 1 2 位 。 漏 洞 描 述 漏 洞 描 述 下 面 我 们 看 一 下 这 个 D e b i a n 的 漏 洞 是 如 何 导 致 枚 举 的 。 该 漏 洞 可 谓 是 十 分 亮 眼 。 因 为 漏 洞 的 存 在 ， 使 得 生 成 的 S S H 密 钥 长 度 非 常 短 。 当 生 成 O p e n S S H 密 钥 的 位 数 不 足 时 ， 对 于 一
个 给 定 体 系 结 构 、 密 钥 大 小 和 密 钥 类 型 而 言 只 有 3 2 7 6 7 种 输 出 结 果 。 攻 击 者 能 够 使 用 相 同 方 法 找 到 弱 密 钥 ， 然 后 使 用 一 些 技 术 来 获 取 密 钥 保 护 的 账 户 。 这 一 任 务 会 在 不 安 全 D e b i a n   S S H   密 钥 的 帮 助 下 获 得 一 个 或 者 更 多 公 共 网 站 ， 比 如 这 一 个 ： “ 如 果 我 想 折 腾 得 动 静 大 一 些 ， 我 大 可 去 做 我 在 博 客 中 提 到 的 那 些 事 情 ， 然 后 或 许 可 以 给 G i t H u b 他 们 一 些 警 示 （ 我 已 经 给 了 他 们 机 会 的 ） 。 想 要 制 造 这 样 的 问 题 可 以 如 下 进 行 ： 获 取 问 题 密 钥 列 表 。 其 中 包 含 了 所 有 S S H 密 钥 的 公 共 和 私 密 部 分 ， 如 果 用 户 有 一 个 存 在 D e b i e n   R N G   漏 洞 的 O p e n S S H 版 本 ， 然 后 得 到 列 表 中 的 每 个 密 钥 ， 并 尝 试 登 录 带 有 密 钥 的 G i t H u b   s s h 。 用 户 ： 快 去 更 新 密 钥 和 操 作 系 统 用 户 ： 快 去 更 新 密 钥 和 操 作 系 统 R a p i d 7   的 高 级 研 究 员 及 M e t a s p l o i t 框 架 的 联 合 创 始 人 H D   M o o r e 表 示 （ 小 编 ： M o o r e 同 志 又 在 宣 传 推 广 他 的 M S F 框 架 了 ） ： " 从 技 术 上 讲 ， 攻 击 者 甚 至 不 需 要 私 钥 来 查 看 网 站 接 受 的 用 户 身 份 验 证 。 仅 仅 是 公 共 密 钥 和 M e t a s p l o i t 模 块 就 能 够 完 成 了 。 " 这 个 漏 洞 于 2 0 0 6 年 被 发 现 ， 当 时 鉴 于 一 些 用 户 提 交 的 漏 洞 报 告 ， D e b i a n 维 护 人 员 最 终 去 掉 了 O p e n S S L 代 码 库 的 两 行 代 码 。 而 D e b i a n 的 维 护 人 员 仅 仅 是 去 掉 了 D e b i a n 对 于 O p e n S S H 的 依 赖 ， 因 此 这 个 存 在 于 O p e n S S H 中 的 位 数 缺 陷 并 没 有 被 修 复 。 接 下 来 的 故 事 更 戏 剧 化 ， U b u n t u 在 不 知 情 的 情 况 下 也 打 包 了 这 个 存 在 缺 陷 的 O p e n S S H 版 本 ， 所 以 这 个 漏 洞 又 跑 到 了 L i n u x 的 另 一 发 行 版 本 U b u n t u 中 ， 而 在 此 后 的 2 0 个 月 中 ， 并 没 有 人 发 现 这 个 从 D e b i a n 跑 过 来 的 重 大 问 题 ， 而 就 在 这 2 0 个 月 里 ， 有 一 批 数 量 不 明 的 密 钥 已 经 生 成 。 这 个 问 题 并 不 是 一 个 小 问 题 ， 因 为 这 批 数 量 不 明 的 S S H 弱 密 钥 还 大 量 存 在 于 G i t h u b 中 ， 补 丁 也 只 能 保 证 从 此 刻 开 始 新 生 成 的 S S H 密 钥 的 安 全 性 ， 想 要 完 全 解 决 问 题 ， 还 需 要 用 户 主 动 去 撤 销 那 些 在 2 0 个 月 内 生 成 的 存 在 缺 陷 的 密 钥 ， 并 使 用 新 的 操 作 系 统 以 生 成 新 的 密 钥 。 由 此 看 来 ， 想 要 彻 底 解 决 这 个 问 题 ， 任 务 量 不 可 小 觑 。 小 编 语 小 编 语 最 近 G i t h u b 可 谓 是 多 事 之 秋 啊 ， 先 是 被 D D o S ， 然 后 又 被 爆 出 存 在 如 此 多 数 量 的 弱 密 钥 ， 大 家 都 是 码 代 码 的 ， 找 个 好 点 的 托 管 平 台 容 易 嘛 ！ 程 序 员 何 苦 为 难 程 序 员 ！ 不 过 上 个 月 末 才 传 出 G i t h u b 已 经 宣 布 正 在 开 发 一 个 去 中 心 化 的 产 品 — — G i t T o r r e n t ， 据 官 方 回 复 说 ， 一 来 是 为 了 防 止 被 D D o S ， 二 来 也 为 了 G i t h u b 未 来 的 发 展 。 G i t h u b 未 来 如 何 ， 我 们 拭 目 以 待 。 不 过 我 们 衷 心 祝 愿 这 样 一 个 好 的 平 台 越 做 越 好 ！ * 参 考 来 源 ： a r s t e c h n i c a ， 小 编 x i a 0 k 对 此 文 有 贡 献 ， 转 载 请 注 明 来 自 F r e e b u f 黑 客 与 极 客 （ F r e e b u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理