{"id":118226,"date":"2024-07-25T15:43:00","date_gmt":"2024-07-25T13:43:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostup-k-dannym-iz-udalyonnyh-i-privatnyh-repozitoriev-na-github-imeyushhih-forki"},"modified":"2024-07-25T15:43:00","modified_gmt":"2024-07-25T13:43:02","slug":"dostup-k-dannym-iz-udalyonnyh-i-privatnyh-repozitoriev-na-github-imeyushhih-forki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/dostup-k-dannym-iz-udalyonnyh-i-privatnyh-repozitoriev-na-github-imeyushhih-forki","title":{"rendered":"Adgang til data fra fjern- og private repositories p\u00e5 GitHub, der har forks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Virksomheden Truffle Security har offentliggjort angrebsscenarier for flere typiske metoder til at arbejde med repositorys p\u00e5 GitHub, som muligg\u00f8r udtr\u00e6kning af data fra fjernrepositorys, der har offentlige forks eller som er oprettet som forks. <\/p>\n
Muligheden for at f\u00e5 adgang til commits via hash i alle relaterede forks af et repository skyldes, at GitHub, med henblik p\u00e5 optimering og udelukkelse af dubletter, gemmer alle objekter fra hovedrepositoryet og forks sammen, kun logisk adskilt efter committers tilh\u00f8rsforhold. En s\u00e5dan lagring g\u00f8r det muligt at se enhver commit fra enhver fork i hovedrepositoryet ved klart at angive dens hash i URL'en. For eksempel kan en bruger oprette en fork af repositoryet '\/torvalds\/linux' og tilf\u00f8je enhver kode til det, hvorefter denne kode bliver tilg\u00e6ngelig via et direkte hash-link i repositoryet '\/torvalds\/linux'. I tilf\u00e6lde af at repositoryet slettes, hvis der er mindst \u00e9n offentlig fork, forbliver data fra det slettede repository tilg\u00e6ngelige via commit-hashen. <\/p>\n
Der foresl\u00e5s tre scenarier, der udg\u00f8r en sikkerhedstrussel: <\/p>\n
\n
Det f\u00f8rste scenarie vedr\u00f8rer situationer, hvor udviklere opretter forks af offentlige repositorys, tilf\u00f8jer \u00e6ndringer til dem, eksperimenterer, og derefter sletter dem. Udover l\u00e6kage af kode, der ikke er beregnet til offentligg\u00f8relse, udg\u00f8r situationen en fare, n\u00e5r eksperimenterne i kodefiler med eksempler indeholder aktive API-adgangsn\u00f8gler. I dette tilf\u00e6lde kan angriberen f\u00e5 adgang til \u00e6ndringerne via commit-hashen, der er adresseret efter sletningen af forken gennem hovedrepositoryet. For eksempel form\u00e5ede forskere at identificere 30 aktive API-adgangsn\u00f8gler ved at unders\u00f8ge tre maskinl\u00e6ringsrelaterede repositorys med et stort antal forks.\n
Det andet scenarie omhandler muligheden for at f\u00e5 adgang til data efter sletning af det prim\u00e6re repository, hvis der er blevet lavet forks af dette repository. Et eksempel er et tilf\u00e6lde, hvor fortrolige n\u00f8gler fra en ansat ved en virksomheds offentlige repository blev offentliggjort ved en fejl, hvilket gav fuld adgang til alle virksomhedens repositories p\u00e5 GitHub. Virksomheden slettede det repository, hvorigennem l\u00e6kagen skete, men n\u00f8glerne forblev tilg\u00e6ngelige for udtr\u00e6k gennem anmodninger om commit-hash i repositories med forks.
<\/center>\n
Det tredje scenarie relaterer sig til udviklingsmodellen for projekter, der udvikler en grundl\u00e6ggende \u00e5ben version i et offentligt repository og en udvidet propriet\u00e6r version i et privat. Hvis virksomheden oprindeligt udviklede projektet i et privat repository, og derefter efter \u00e5bningen af koden til projektet flyttede det til offentlig status, men fortsatte udviklingen af en lukket intern eller udvidet version i en privat fork, er der mulighed for adgang til \u00e6ndringer tilf\u00f8jet til den private fork via commit-hashes gennem det offentlige repository. Adgang er dog kun mulig til de \u00e6ndringer, der blev tilf\u00f8jet til den private fork f\u00f8r overf\u00f8rslen af hovedrepositoryet til offentlig status (opbevaringspladserne for private og offentlige repositories er adskilt, men n\u00e5r to repositories var private, blev commits opbevaret sammen, og derfor forblev de i repositoryet efter dets overf\u00f8rsel til offentlig status).
<\/center> <\/ul>\n
Tricket, der muligg\u00f8r adgang til commits i forks af repositoryet gennem et link til det prim\u00e6re repository, har v\u00e6ret kendt i mange \u00e5r og anvendes periodisk til forskellige vittigheder og for at forlede udviklere (for eksempel skaber spasmagerer periodisk p\u00e5 denne m\u00e5de en illusion om indsatser af backdoors i repositoryet for Linux-kernen p\u00e5 GitHub). Som en foranstaltning til at modvirke s\u00e5danne vittigheder har GitHub tilf\u00f8jet en advarsel om, at den anmodede commit ikke tilh\u00f8rer grenene i det aktuelle repository og muligvis tilh\u00f8rer en fork. Selve muligheden for at f\u00e5 adgang til commits efter hash i alle relaterede forks af repositoryet blev betragtet som harml\u00f8s, da viden om commit-hashen er n\u00f8dvendig for at f\u00e5 adgang til data i fjerne og private forks. <\/p>\n
At finde hash for en commit, der genereres baseret p\u00e5 SHA-1 algoritmen og omfatter 32 tegn, er umuligt, men det viser sig, at det ikke er n\u00f8dvendigt. GitHub underst\u00f8tter en forkortet form for at henvise til commits, der g\u00f8r det muligt at adressere \u00e6ndringer ved hj\u00e6lp af de f\u00f8rste par tegn af hashen, hvis der ikke er overlap med andre commits. Det minimale antal tegn for forkortet adressering af hashen er 4, hvilket svarer til at gennemg\u00e5 i alt 65.000 kombinationer (16^4). I denne forbindelse kan det v\u00e6re, at gennemgangen ikke er n\u00f8dvendig, da GitHub's API tillader tilslutning af h\u00e5ndteringsprogrammer til at opfange h\u00e6ndelser, som anvendes af tredjepartsprojekter, der f\u00f8rer et arkiv med fuld log over alle operationer, hvor information om commit-hashes forbliver, selv efter repositories er slettet. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Adgang](\"\/wp-content\/uploads\/2024\/07\/45381deb03eaa5be40baf8b4dbf7b481.png\")
<\/center>\n![\"Adgang](\"\/wp-content\/uploads\/2024\/07\/23342cf907bd300699e913297d29b310.png\")
<\/center> <\/ul>\n