Ligipääs tegevuse andmetele kaug- ja privaatsetest Repositooriumidest GitHubis, millel on forkid

Truffle Security avaldas rünnakuskeemid mitmete tüüpiliste GitHubi repositooriumide töötlusmeetodite kohta, mis võimaldavad andmeid välja tõmmata kaugrepositooriumitest, millel on avalikud forkid või millel on mõni forkk loodud.

Juhtimisevõimekus kommitide häsšide kaudu kõigis seotud repositooriumide forkides tuleneb sellest, et GitHub salvestab kõiki põhirepositooriumi ja forkide objekte koos, et optimeerida ja vältida dubleerimist, eraldades vaid loogiliselt kommitide kuuluvuse. See salvestamisviis võimaldab vaadata mis tahes kommiti mis tahes forkis põhirepositooriumis, kui sellele on selgelt näidatud häsš URL-is. Näiteks võib kasutaja luua fork repositooriumist "/torvalds/linux" ja lisada sinna igasugust koodi, mille järel see kood muutub saadavaks otse häsš-linkina repositooriumis "/torvalds/linux". Repositooriumi kustutamise korral jäävad andmed kaugrepositooriumist kergesti ligipääsetavaks kommiti häsši kaudu, kui vähemalt üks avalik fork on olemas.

Pakutakse kolme stsenaariumi, mis esindavad turvaohtu:

• Esimene stsenaarium käsitleb olukordi, kus arendajad loovad avalike repode koopiad, teevad neis muudatusi, katsetavad ja seejärel kustutavad. Peale koodi lekke, mis pole mõeldud avaldamiseks, kujutab ohtu olukord, kus katsetades lisatakse näidifailide koodi töötavaid API ligipääsuvõtmeid. Sel juhul võib ründaja saavutada ligipääsu eemaldatud forki kaudu põhirepositooriumi suunatud commit hash'i järgi. Näiteks suudeti pakutud viisil teadlastel määrata 30 töötavat API ligipääsuvõtit, uurides kolme masinõppega seotud repot, millel on suur hulk forke.
• Teine stsenaarium käsitleb andmete ligipääsu saamise võimalust pärast esmase hoidla kustutamist, kui selle hoidla kohta on loodud harud. Näiteks tuuakse juhtum, kus ühe ettevõtte avalikus hoidlus avaldati juhuslikult ühe töötaja suletud võtmed, mis andsid täieliku ligipääsu kõigile selle ettevõtte hoidlatele GitHubis. Ettevõte kustutas hoidla, mille kaudu andmed lekkisid, kuid võtmed jäid endiselt kergesti kätte saadavaks, kui neid otsiti commit'i hash'i abil harudest.
• Kolmas stsenaarium on seotud projektide arendamise mudeliga, kus põhiversioon areneb avalikus hoidlas ja laiendatud omadustega versioon privaatsetes. Kui ettevõte algselt arendas projekti privaatsetes hoidlates, kuid seejärel avas koodi ja tõi projekti avalikku hoidlasse, jätkates siiski suletud sise- või laiendatud versiooni arendamist privaatse fork'iga, on võimalik juurde pääseda privaatse forki lisatud muudatustele commit'i hash'ide kaudu avaliku hoidla kaudu. Samas on juurdepääs võimalik ainult nendele muudatustele, mis lisati privaatsele fork'ile enne põhihoidla üleviimist avalikuks (privaatsete ja avalike hoidlate salvestised on eraldi, kuid kui kaks hoidlat olid privaatset, salvestati commit'id koos, seega jäid need hoidlasse pärast selle üleviimist avalikuks).

Trikk, mis võimaldab ligipääsu reposti forkide commit'idele peamiste reposte kaudu, on tuntud juba aastaid ja seda kasutatakse perioodiliselt erinevate nali ja arendajate petmiseks (näiteks naljamehed loovad sageli selliselt mulje, et nad paigutavad Linuxi tuuma reposti backdoore GitHubis). Nende naljade vastu võitlemiseks on GitHub lisanud hoiatuse, et taotletud commit ei kuulu käesoleva reposti harudesse ja võib kuuluda forkile. Samuti peeti forkide kaudu commit'idele juurdepääsu võimalust süütuks, kuna andmete saamiseks eemaldates ja privaatsetes forkides on vajalik commit'i hash'i teadmine.

Kommiidi häälekoode, mis põhinevad SHA-1 algoritmil ja sisaldavad 32 sümbolit, on keeruline leida, kuid oletati, et see pole vajalik. GitHub toetab lühendatud kommiidi tuvastamist, mis võimaldab viidatud muudatusi adresseerida kommiidi häälekoode esimestelt sümbolitelt, kui puuduvad kattumised teiste kommiitidega. Lühendatud häälekoode adresseerimiseks on minimaalne sümbolite arv 4, mis vastab 65 tuhande kombinatsiooni (16^4) genereerimisele. Samas ei pruugi genereerimine olla vajalik, kuna GitHub API võimaldab ühendada töötlejad sündmuste tabamiseks, mida kasutavad kolmandad osalised, kellel on arhiveeritud täielik logi kõigist toimingutest, kus kommiid häälekoodid jäävad alles ka pärast hoidlate kustutamist.

Allikas: opennet.ru