গিটহাব রিপোজিটরিগুলোতে ৫৪৩,০০০টি সক্রিয় টোকেন, কী এবং পাসওয়ার্ড আবিষ্কৃত হয়েছে।

ট্রাফল সিকিউরিটি গিটহাব রিপোজিটরিগুলোতে ফাঁস হওয়া ক্রেডেনশিয়াল বিশ্লেষণের ফলাফল প্রকাশ করেছে। ৫৮ বিলিয়ন ফাইল সম্বলিত ২২৪ মিলিয়ন রিপোজিটরি স্ক্যান করার পর, ৫৪৩,০০০টি স্বতন্ত্র ক্রেডেনশিয়াল (টোকেন, কী এবং পাসওয়ার্ড) শনাক্ত করা হয়েছে যেগুলো তখনও বৈধ ছিল। এই বৈধ ক্রেডেনশিয়ালগুলো রিপোজিটরিগুলোতে অন্তত এক বছর ধরে ছিল, কারণ এই গবেষণায় গত বছরের ৭ই আগস্টের একটি গিটহাব স্ন্যাপশট ব্যবহার করা হয়েছে এবং এপিআই, নেটওয়ার্ক সার্ভিস ও হোস্টগুলোতে টেস্ট কলের মাধ্যমে ক্রেডেনশিয়ালের বৈধতা যাচাইয়ের কাজটি এই বছরের জুলাই মাসের শেষে করা হয়েছিল।

ক্রেডেনশিয়ালগুলো ফাঁস হওয়ার গড় সময় আনুমানিক ৭৮৪ দিন বলে ধরা হয়েছে, এবং সবচেয়ে পুরোনো যে অ্যাক্সেস কীগুলো এখনও বৈধ, সেগুলো ২০০৯ সালের। সংবেদনশীল ডেটা এবং অ্যাক্সেস টোকেন ফাঁস রোধ করার জন্য গিটহাবের ডিফল্ট ব্যবস্থাটি (যা পুশ রিকোয়েস্টের সময় ফাঁস পরীক্ষা করে) চালু করার পর প্রায় ২,০০,০০০ বৈধ ক্রেডেনশিয়াল রিপোজিটরিগুলোতে রাখা হয়েছিল। প্রয়োগকৃত সুরক্ষা ব্যবস্থার অসমর্থিত ফরম্যাটে রাখার কারণে এই ফাঁসগুলো শনাক্ত করা যায়নি, যদিও প্রকৃত ফিল্টারিং শনাক্তযোগ্য ক্রেডেনশিয়ালের ফাঁস প্রায় অর্ধেক কমিয়ে দিয়েছিল।

দেখা গেছে যে, গিটহাব সফলভাবে গিটহাব, এডব্লিউএস, স্ল্যাক, সেন্ডগ্রিড, স্ট্রাইপ এবং জিসিপি-র মতো সাধারণ পরিষেবাগুলির জন্য টোকেন লিক শনাক্ত করে, কিন্তু কোডে রেখে দেওয়া ডাটাবেস সংযোগ প্যারামিটার, গুগল এপিআই অ্যাক্সেস কী এবং প্রাইভেট কী উপেক্ষা করে। ভুল শনাক্তকরণ এড়ানোর জন্য ডাটাবেস সংযোগ প্যারামিটার এবং প্রাইভেট কী ডিফল্টরূপে ব্লক করা হয় না। গুগল এপিআই অ্যাক্সেস কী ব্লক করা হয় না কারণ সেগুলিতে AIzaSy প্রিফিক্স থাকে, যা ওয়েব পেজে ইন্টিগ্রেশনের জন্য ব্যবহৃত গুগল ম্যাপস পাবলিক কী-এর অনুরূপ।

আবিষ্কৃত যে ক্রেডেনশিয়ালগুলো অবৈধ বলে প্রমাণিত হয়েছে, সেগুলোর অধিকাংশই ছিল এমন সব পরিষেবার সাথে যুক্ত অ্যাক্সেস টোকেন এবং কী, যেগুলোতে বাতিল করার ব্যবস্থা রয়েছে। উদাহরণস্বরূপ, ১০১,৮৮৬টি NPM টোকেনের মধ্যে মাত্র একটি বৈধ টোকেন (০.০০১%), ৭৩,০৪৮টি GitHub টোকেনের মধ্যে ২৬০টি (০.৩৫%), এবং ৩০,৪৩৭টি Hugging Face টোকেনের মধ্যে ১৫টি (০.০৫%) পাওয়া গেছে। Stripe কী-গুলোর টিকে থাকার হার ছিল ৪%, AWS—৮%, GCP—৮%, Slack—২%, এবং GitLab—০.৬৪%। তুলনার জন্য, PostgreSQL DBMS-এর সাথে শনাক্তকৃত ১২,৯৮৫টি সংযোগ প্যারামিটারের মধ্যে ১১,৪৬৫টি (৮৮%), MySQL-এর সাথে ২,৪২১টি সংযোগ প্যারামিটারের মধ্যে ১,৮০৬টি (৭৪%), ১,২৬,৯৬৩টি Google Cloud পরিষেবা অ্যাকাউন্টের মধ্যে ৬৯,০৪১টি (৫৪%), Docker Hub-এর সাথে ৩,৭৯০টি টোকেনের মধ্যে ১,২৪৪টি (৩৩%), এবং SendGrid-এর সাথে ২২,৮০০টি কী-এর মধ্যে ৯,১৮৯টি (৪০%) সক্রিয় ছিল।

এর আগে, গবেষকরা হাগিং ফেস-এর মাধ্যমে বিতরণ করা প্রায় ৭.৫ পিবি এআই প্রশিক্ষণ ডেটা পরীক্ষা করে এর মধ্যে ২২১,০০০টি বৈধ ক্রেডেনশিয়াল খুঁজে পেয়েছিলেন।

উত্স: opennet.ru