GitHub NPM অবকাঠামো হ্যাক করা এবং লগগুলিতে খোলা পাসওয়ার্ড প্রকাশ করার ডেটা প্রকাশ করেছে

GitHub আক্রমণের বিশ্লেষণের ফলাফল প্রকাশ করেছে, যার ফলস্বরূপ, 12 এপ্রিল, আক্রমণকারীরা এনপিএম প্রকল্পের অবকাঠামোতে ব্যবহৃত অ্যামাজন AWS পরিষেবাতে ক্লাউড পরিবেশে অ্যাক্সেস পেয়েছে। ঘটনার একটি বিশ্লেষণে দেখা গেছে যে আক্রমণকারীরা skimdb.npmjs.com হোস্টের ব্যাকআপে অ্যাক্সেস পেয়েছে, যার মধ্যে 100 সাল পর্যন্ত প্রায় 2015 NPM ব্যবহারকারীর শংসাপত্র সহ একটি ডাটাবেস ব্যাকআপ রয়েছে, যার মধ্যে পাসওয়ার্ড হ্যাশ, নাম এবং ইমেল রয়েছে।

পাসওয়ার্ড হ্যাশগুলি লবণ সহ PBKDF2 বা SHA1 অ্যালগরিদম ব্যবহার করে তৈরি করা হয়েছিল, যা 2017 সালে আরও ব্রুট ফোর্স bcrypt দিয়ে প্রতিস্থাপিত হয়েছিল। ঘটনাটি সনাক্ত করার পরে, ফাঁস হওয়া পাসওয়ার্ডগুলি পুনরায় সেট করা হয়েছিল এবং ব্যবহারকারীদের একটি নতুন পাসওয়ার্ড সেট করার জন্য একটি বিজ্ঞপ্তি পাঠানো হয়েছিল। যেহেতু NPM 1 মার্চ থেকে ইমেল নিশ্চিতকরণের সাথে বাধ্যতামূলক দ্বি-ফ্যাক্টর যাচাইকরণ অন্তর্ভুক্ত করেছে, তাই ব্যবহারকারীর আপসের ঝুঁকিকে নগণ্য হিসাবে মূল্যায়ন করা হয়।

এছাড়াও, 2021 সালের এপ্রিল পর্যন্ত ব্যক্তিগত প্যাকেজের সমস্ত ম্যানিফেস্ট ফাইল এবং মেটাডেটা, ব্যক্তিগত প্যাকেজের সমস্ত নাম এবং সংস্করণগুলির একটি আপ-টু-ডেট তালিকা সহ CSV ফাইলগুলির পাশাপাশি দুটি GitHub ক্লায়েন্টের সমস্ত ব্যক্তিগত প্যাকেজের বিষয়বস্তু (নাম প্রকাশ করা হয় না) আক্রমণকারীদের হাতে পড়ে। রিপোজিটরির জন্য, প্যাকেজ হ্যাশের ট্রেস এবং যাচাইকরণের বিশ্লেষণে আক্রমণকারীরা NPM প্যাকেজে পরিবর্তন এবং প্যাকেজের কাল্পনিক নতুন সংস্করণ প্রকাশ করেনি।

দুটি তৃতীয় পক্ষের গিটহাব ইন্টিগ্রেটর, Heroku এবং Travis-CI-এর জন্য তৈরি করা চুরি করা OAuth টোকেন ব্যবহার করে 12 এপ্রিল আক্রমণটি চালানো হয়েছিল। টোকেন ব্যবহার করে, আক্রমণকারীরা NPM প্রকল্পের পরিকাঠামোতে ব্যবহৃত Amazon Web Services API অ্যাক্সেস করার জন্য ব্যক্তিগত GitHub সংগ্রহস্থল থেকে চাবি বের করতে সক্ষম হয়েছিল। ফলস্বরূপ কী AWS S3 পরিষেবাতে সংরক্ষিত ডেটাতে অ্যাক্সেসের অনুমতি দেয়।

উপরন্তু, NPM সার্ভারগুলিতে ব্যবহারকারীর ডেটা প্রক্রিয়াকরণে পূর্বে চিহ্নিত গুরুতর গোপনীয়তা সমস্যা সম্পর্কে তথ্য প্রকাশ করা হয়েছিল - অভ্যন্তরীণ লগগুলিতে, কিছু NPM ব্যবহারকারীর পাসওয়ার্ড, সেইসাথে NPM-এ অ্যাক্সেস টোকেনগুলি পরিষ্কার পাঠ্যে সংরক্ষণ করা হয়েছিল। GitHub লগিং সিস্টেমের সাথে NPM-এর একীকরণের সময়, বিকাশকারীরা নিশ্চিত করেনি যে লগে রাখা NPM পরিষেবাগুলির অনুরোধ থেকে গোপনীয় তথ্য কাটা হয়েছে। এটি দাবি করা হয় যে ত্রুটিটি সংশোধন করা হয়েছিল এবং এনপিএম আক্রমণের আগে লগগুলি সাফ করা হয়েছিল। শুধুমাত্র কিছু গিটহাব কর্মচারীর লগগুলিতে অ্যাক্সেস ছিল, যার মধ্যে পাবলিক পাসওয়ার্ড অন্তর্ভুক্ত ছিল।

উত্স: opennet.ru