GitHub-এর উপর একটি আক্রমণ যা ব্যক্তিগত সংগ্রহস্থলের ফাঁস এবং NPM অবকাঠামোতে অ্যাক্সেসের দিকে পরিচালিত করে

Heroku এবং Travis-CI পরিষেবাগুলির জন্য তৈরি করা আপোসকৃত OAuth টোকেনগুলি ব্যবহার করে ব্যক্তিগত সংগ্রহস্থল থেকে ডেটা ডাউনলোড করার লক্ষ্যে GitHub ব্যবহারকারীদের একটি আক্রমণ সম্পর্কে সতর্ক করেছে৷ এটি রিপোর্ট করা হয়েছে যে আক্রমণের সময়, কিছু সংস্থার ব্যক্তিগত সংগ্রহস্থল থেকে ডেটা ফাঁস হয়েছিল, যা Heroku PaaS প্ল্যাটফর্ম এবং Travis-CI ক্রমাগত ইন্টিগ্রেশন সিস্টেমের জন্য সংগ্রহস্থলগুলিতে অ্যাক্সেস খুলেছিল। ক্ষতিগ্রস্তদের মধ্যে ছিল গিটহাব এবং এনপিএম প্রকল্প।

আক্রমণকারীরা এনপিএম প্রকল্পের পরিকাঠামোতে ব্যবহৃত অ্যামাজন ওয়েব সার্ভিসেস এপিআই অ্যাক্সেস করার চাবিকাঠিটি ব্যক্তিগত গিটহাব সংগ্রহস্থল থেকে বের করতে সক্ষম হয়েছিল। ফলস্বরূপ কী AWS S3 পরিষেবাতে সংরক্ষিত NPM প্যাকেজগুলিতে অ্যাক্সেসের অনুমতি দেয়। GitHub বিশ্বাস করে যে NPM সংগ্রহস্থলগুলিতে অ্যাক্সেস লাভ করা সত্ত্বেও, এটি প্যাকেজগুলি পরিবর্তন করেনি বা ব্যবহারকারীর অ্যাকাউন্টগুলির সাথে সম্পর্কিত ডেটা প্রাপ্ত করেনি। এটিও উল্লেখ করা হয়েছে যে যেহেতু GitHub.com এবং NPM পরিকাঠামোগুলি পৃথক, তাই সমস্যাযুক্ত টোকেনগুলি ব্লক করার আগে আক্রমণকারীদের কাছে NPM-এর সাথে সম্পর্কিত নয় এমন অভ্যন্তরীণ GitHub সংগ্রহস্থলগুলির বিষয়বস্তু ডাউনলোড করার সময় ছিল না।

আক্রমণকারীরা AWS API-এর কী ব্যবহার করার চেষ্টা করার পরে 12 এপ্রিল আক্রমণটি সনাক্ত করা হয়েছিল। পরবর্তীতে, অন্যান্য কিছু সংস্থার উপর অনুরূপ আক্রমণ রেকর্ড করা হয়েছিল, যেগুলি Heroku এবং Travis-CI অ্যাপ্লিকেশন টোকেনগুলিও ব্যবহার করেছিল। ক্ষতিগ্রস্থ সংস্থাগুলির নাম দেওয়া হয়নি, তবে আক্রমণ দ্বারা প্রভাবিত সমস্ত ব্যবহারকারীকে পৃথক বিজ্ঞপ্তি পাঠানো হয়েছে। Heroku এবং Travis-CI অ্যাপ্লিকেশনগুলির ব্যবহারকারীদের নিরাপত্তা এবং অডিট লগগুলি পর্যালোচনা করতে উত্সাহিত করা হয় অস্বাভাবিকতা এবং অস্বাভাবিক কার্যকলাপ সনাক্ত করতে।

টোকেনগুলি কীভাবে আক্রমণকারীদের হাতে পড়েছিল তা এখনও স্পষ্ট নয়, তবে গিটহাব বিশ্বাস করে যে কোম্পানির পরিকাঠামোর সাথে সমঝোতার ফলে সেগুলি প্রাপ্ত হয়নি, যেহেতু বহিরাগত সিস্টেমগুলি থেকে অ্যাক্সেস অনুমোদনের জন্য টোকেনগুলি গিটহাবের পাশে সংরক্ষণ করা হয় না। ব্যবহারের জন্য উপযুক্ত মূল বিন্যাসে। আক্রমণকারীর আচরণের বিশ্লেষণে দেখা গেছে যে ব্যক্তিগত সংগ্রহস্থলের বিষয়বস্তু ডাউনলোড করার মূল উদ্দেশ্য সম্ভবত তাদের মধ্যে গোপনীয় তথ্যের উপস্থিতি বিশ্লেষণ করা, যেমন অ্যাক্সেস কী, যা অবকাঠামোর অন্যান্য উপাদানগুলিতে আক্রমণ চালিয়ে যেতে ব্যবহার করা যেতে পারে। .

উত্স: opennet.ru