GitHub раскрыл Π΄Π°Π½Π½Ρ‹Π΅ ΠΎ Π²Π·Π»ΠΎΠΌΠ΅ инфраструктуры NPM ΠΈ выявлСнии ΠΎΡ‚ΠΊΡ€Ρ‹Ρ‚Ρ‹Ρ… ΠΏΠ°Ρ€ΠΎΠ»Π΅ΠΉ Π² Π»ΠΎΠ³Π°Ρ…

Компания GitHub ΠΎΠΏΡƒΠ±Π»ΠΈΠΊΠΎΠ²Π°Π»Π° Ρ€Π΅Π·ΡƒΠ»ΡŒΡ‚Π°Ρ‚Ρ‹ Ρ€Π°Π·Π±ΠΎΡ€Π° Π°Ρ‚Π°ΠΊΠΈ, Π² Ρ€Π΅Π·ΡƒΠ»ΡŒΡ‚Π°Ρ‚Π΅ ΠΊΠΎΡ‚ΠΎΡ€ΠΎΠΉ 12 апрСля Π·Π»ΠΎΡƒΠΌΡ‹ΡˆΠ»Π΅Π½Π½ΠΈΠΊΠΈ ΠΏΠΎΠ»ΡƒΡ‡ΠΈΠ»ΠΈ доступ ΠΊ ΠΎΠ±Π»Π°Ρ‡Π½Ρ‹ΠΌ окруТСниям Π² сСрвисС Amazon AWS, ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΠ΅ΠΌΡ‹ΠΌ Π² инфраструктурС ΠΏΡ€ΠΎΠ΅ΠΊΡ‚Π° NPM. Анализ ΠΈΠ½Ρ†ΠΈΠ΄Π΅Π½Ρ‚Π° ΠΏΠΎΠΊΠ°Π·Π°Π», Ρ‡Ρ‚ΠΎ Π°Ρ‚Π°ΠΊΡƒΡŽΡ‰ΠΈΠ΅ ΠΏΠΎΠ»ΡƒΡ‡ΠΈΠ»ΠΈ доступ ΠΊ Ρ€Π΅Π·Π΅Ρ€Π²Π½Ρ‹ΠΌ копиям хоста skimdb.npmjs.com ΠΈ Π² Ρ‚ΠΎΠΌ числС ΠΊ Ρ€Π΅Π·Π΅Ρ€Π²Π½ΠΎΠΉ ΠΊΠΎΠΏΠΈΠΈ Π‘Π” с ΡƒΡ‡Ρ‘Ρ‚Π½Ρ‹ΠΌΠΈ Π΄Π°Π½Π½Ρ‹ΠΌΠΈ ΠΏΡ€ΠΈΠΌΠ΅Ρ€Π½ΠΎ 100 тысяч ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»Π΅ΠΉ NPM ΠΏΠΎ ΡΠΎΡΡ‚ΠΎΡΠ½ΠΈΡŽ Π½Π° 2015 Π³ΠΎΠ΄, Π²ΠΊΠ»ΡŽΡ‡Π°ΡŽΡ‰ΠΈΠΌ Ρ…ΡΡˆΠΈ ΠΏΠ°Ρ€ΠΎΠ»Π΅ΠΉ, ΠΈΠΌΠ΅Π½Π° ΠΈ email.

Π₯эши ΠΏΠ°Ρ€ΠΎΠ»Π΅ΠΉ Π±Ρ‹Π»ΠΈ созданы с использованиСм Π°Π»Π³ΠΎΡ€Ρ‚ΠΈΠΌΠΎΠ² PBKDF2 ΠΈΠ»ΠΈ SHA1 с солью, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹Π΅ Π² 2017 Π³ΠΎΠ΄Ρƒ Π±Ρ‹Π»ΠΈ Π·Π°ΠΌΠ΅Π½Ρ‹ Π½Π° Π±ΠΎΠ»Π΅Π΅ стойкий ΠΊ ΠΏΠΎΠ΄Π±ΠΎΡ€Ρƒ bcrypt. ПослС выявлСния ΠΈΠ½Ρ†ΠΈΠ΄Π΅Π½Ρ‚Π° ΠΎΡ…Π²Π°Ρ‡Π΅Π½Π½Ρ‹Π΅ ΡƒΡ‚Π΅Ρ‡ΠΊΠΎΠΉ ΠΏΠ°Ρ€ΠΎΠ»ΠΈ Π±Ρ‹Π»ΠΈ ΡΠ±Ρ€ΠΎΡˆΠ΅Π½Ρ‹, Π° ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»ΡΠΌ ΠΎΡ‚ΠΏΡ€Π°Π²Π»Π΅Π½ΠΎ ΡƒΠ²Π΅Π΄ΠΎΠΌΠ»Π΅Π½ΠΈΠ΅ ΠΎ нСобходимости установки Π½ΠΎΠ²ΠΎΠ³ΠΎ пароля. Π’Π°ΠΊ ΠΊΠ°ΠΊ с 1 ΠΌΠ°Ρ€Ρ‚Π° Π² NPM Π²ΠΊΠ»ΡŽΡ‡Π΅Π½Π° ΠΎΠ±ΡΠ·Π°Ρ‚Π΅Π»ΡŒΠ½Π°Ρ двухфакторная вСрификация с ΠΏΠΎΠ΄Ρ‚Π²Π΅Ρ€ΠΆΠ΄Π΅Π½ΠΈΠ΅ΠΌ ΠΏΠΎ email ΠΎΠΏΠ°ΡΠ½ΠΎΡΡ‚ΡŒ ΠΊΠΎΠΌΠΏΡ€ΠΎΠΌΠ΅Ρ‚Π°Ρ†ΠΈΠΈ ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»Π΅ΠΉ оцСниваСтся ΠΊΠ°ΠΊ Π½Π΅Π·Π½Π°Ρ‡ΠΈΡ‚Π΅Π»ΡŒΠ½Π°Ρ.

ΠšΡ€ΠΎΠΌΠ΅ Ρ‚ΠΎΠ³ΠΎ, Π² Ρ€ΡƒΠΊΠΈ Π°Ρ‚Π°ΠΊΡƒΡŽΡ‰ΠΈΡ… ΠΏΠΎΠΏΠ°Π»ΠΈ всС манифСст-Ρ„Π°ΠΉΠ»Ρ‹ ΠΈ ΠΌΠ΅Ρ‚Π°Π΄Π°Π½Π½Ρ‹Π΅ ΠΏΡ€ΠΈΠ²Π°Ρ‚Π½Ρ‹Ρ… ΠΏΠ°ΠΊΠ΅Ρ‚ΠΎΠ² ΠΏΠΎ ΡΠΎΡΡ‚ΠΎΡΠ½ΠΈΡŽ Π½Π° Π°ΠΏΡ€Π΅Π»ΡŒ 2021 Π³ΠΎΠ΄Π°, CSV-Ρ„Π°ΠΉΠ»Ρ‹ с Π°ΠΊΡ‚ΡƒΠ°Π»ΡŒΠ½Ρ‹ΠΌ списком всСх ΠΈΠΌΡ‘Π½ ΠΈ вСрсий ΠΏΡ€ΠΈΠ²Π°Ρ‚Π½Ρ‹Ρ… ΠΏΠ°ΠΊΠ΅Ρ‚ΠΎΠ², Π° Ρ‚Π°ΠΊΠΆΠ΅ содСрТимоС всСх ΠΏΡ€ΠΈΠ²Π°Ρ‚Π½Ρ‹Ρ… ΠΏΠ°ΠΊΠ΅Ρ‚ΠΎΠ² Π΄Π²ΡƒΡ… ΠΊΠ»ΠΈΠ΅Π½Ρ‚ΠΎΠ² GitHub (ΠΈΠΌΠ΅Π½Π° Π½Π΅ Ρ€Π°ΡΠΊΡ€Ρ‹Π²Π°ΡŽΡ‚ΡΡ). Π§Ρ‚ΠΎ касаСтся самого рСпозитория, Ρ‚ΠΎ Π°Π½Π°Π»ΠΈΠ· слСдов ΠΈ вСрификация Ρ…ΡΡˆΠ΅ΠΉ ΠΏΠ°ΠΊΠ΅Ρ‚ΠΎΠ² Π½Π΅ выявил внСсСния Π°Ρ‚Π°ΠΊΡƒΡŽΡ‰ΠΈΠΌΠΈ ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠΉ Π² NPM-ΠΏΠ°ΠΊΠ΅Ρ‚Ρ‹ ΠΈ ΠΏΡƒΠ±Π»ΠΈΠΊΠ°Ρ†ΠΈΠΈ Ρ„ΠΈΠΊΡ‚ΠΈΠ²Π½Ρ‹Ρ… Π½ΠΎΠ²Ρ‹Ρ… вСрсий ΠΏΠ°ΠΊΠ΅Ρ‚ΠΎΠ².

Атака Π±Ρ‹Π»Π° ΡΠΎΠ²Π΅Ρ€ΡˆΠ΅Π½Π° 12 апрСля с использованиСм ΡƒΠΊΡ€Π°Π΄Π΅Π½Π½Ρ‹Ρ… Ρ‚ΠΎΠΊΠ΅Π½ΠΎΠ² OAuth, сгСнСрированных для Π΄Π²ΡƒΡ… сторонних GitHub-ΠΈΠ½Ρ‚Π΅Π³Ρ€Π°Ρ‚ΠΎΡ€ΠΎΠ² — Heroku ΠΈ Travis-CI. Π’ΠΎΡΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Π²ΡˆΠΈΡΡŒ Ρ‚ΠΎΠΊΠ΅Π½Π°ΠΌΠΈ Π°Ρ‚Π°ΠΊΡƒΡŽΡ‰ΠΈΠ΅ смогли ΠΈΠ·Π²Π»Π΅Ρ‡ΡŒ ΠΈΠ· ΠΏΡ€ΠΈΠ²Π°Ρ‚Π½Ρ‹Ρ… Ρ€Π΅ΠΏΠΎΠ·ΠΈΡ‚ΠΎΡ€ΠΈΠ΅Π² GitHub ΠΊΠ»ΡŽΡ‡ для доступа ΠΊ API Amazon Web Services, ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΠ΅ΠΌΡ‹ΠΉ Π² инфраструктурС ΠΏΡ€ΠΎΠ΅ΠΊΡ‚Π° NPM. ΠŸΠΎΠ»ΡƒΡ‡Π΅Π½Π½Ρ‹ΠΉ ΠΊΠ»ΡŽΡ‡ ΠΏΠΎΠ·Π²ΠΎΠ»ΠΈΠ» ΠΏΠΎΠ»ΡƒΡ‡ΠΈΡ‚ΡŒ доступ ΠΊ Π΄Π°Π½Π½Ρ‹ΠΌ, хранящимся Π² сСрвисС AWS S3.

Π”ΠΎΠΏΠΎΠ»Π½ΠΈΡ‚Π΅Π»ΡŒΠ½ΠΎ раскрыты свСдСния ΠΎ Ρ€Π°Π½Π΅Π΅ выявлСнных ΡΠ΅Ρ€ΡŒΡ‘Π·Π½Ρ‹Ρ… ΠΏΡ€ΠΎΠ±Π»Π΅ΠΌΠ°Ρ… с ΠΊΠΎΠ½Ρ„ΠΈΠ΄Π΅Π½Ρ†ΠΈΠ°Π»ΡŒΠ½ΠΎΡΡ‚ΡŒΡŽ ΠΏΡ€ΠΈ ΠΎΠ±Ρ€Π°Π±ΠΎΡ‚ΠΊΠ΅ Π΄Π°Π½Π½Ρ‹Ρ… ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»Π΅ΠΉ Π½Π° сСрвСрах NPM — Π²ΠΎ Π²Π½ΡƒΡ‚Ρ€Π΅Π½Π½ΠΈΡ… Π»ΠΎΠ³Π°Ρ… Π² ΠΎΡ‚ΠΊΡ€Ρ‹Ρ‚ΠΎΠΌ Π²ΠΈΠ΄Π΅ ΡΠΎΡ…Ρ€Π°Π½ΡΠ»ΠΈΡΡŒ ΠΏΠ°Ρ€ΠΎΠ»ΠΈ Π½Π΅ΠΊΠΎΡ‚ΠΎΡ€Ρ‹Ρ… ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»Π΅ΠΉ NPM, Π° Ρ‚Π°ΠΊΠΆΠ΅ Ρ‚ΠΎΠΊΠ΅Π½Ρ‹ доступа ΠΊ NPM. Π’ Ρ…ΠΎΠ΄Π΅ ΠΈΠ½Ρ‚Π΅Π³Ρ€Π°Ρ†ΠΈΠΈ NPM с систСмой вСдСния Π»ΠΎΠ³ΠΎΠ² GitHub Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊΠΈ Π½Π΅ обСспСчили Π²Ρ‹Ρ€Π΅Π·Π°Π½ΠΈΠ΅ ΠΊΠΎΠ½Ρ„ΠΈΠ΄Π΅Π½Ρ†ΠΈΠ°Π»ΡŒΠ½ΠΎΠΉ ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΠΈ ΠΈΠ· ΠΏΠΎΠΌΠ΅Ρ‰Π°Π΅ΠΌΡ‹Ρ… Π² Π»ΠΎΠ³ запросов ΠΊ сСрвисам NPM. УтвСрТдаСтся, Ρ‡Ρ‚ΠΎ Π½Π΅Π΄ΠΎΡ€Π°Π±ΠΎΡ‚ΠΊΠ° Π±Ρ‹Π»Π° устранСна, Π° Π»ΠΎΠ³ΠΈ ΠΎΡ‡ΠΈΡ‰Π΅Π½Ρ‹ Π΅Ρ‰Ρ‘ Π΄ΠΎ Π°Ρ‚Π°ΠΊΠΈ Π½Π° NPM. Доступ ΠΊ Π»ΠΎΠ³Π°ΠΌ, Π²ΠΊΠ»ΡŽΡ‡Π°ΡŽΡ‰ΠΈΠΌ ΠΎΡ‚ΠΊΡ€Ρ‹Ρ‚Ρ‹Π΅ ΠΏΠ°Ρ€ΠΎΠ»ΠΈ, ΠΈΠΌΠ΅Π»ΠΈ лишь ΠΎΡ‚Π΄Π΅Π»ΡŒΠ½Ρ‹Π΅ сотрудники GitHub.

Π˜ΡΡ‚ΠΎΡ‡Π½ΠΈΠΊ: opennet.ru