{"id":118226,"date":"2024-07-25T15:43:00","date_gmt":"2024-07-25T13:43:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostup-k-dannym-iz-udalyonnyh-i-privatnyh-repozitoriev-na-github-imeyushhih-forki"},"modified":"2024-07-25T15:43:00","modified_gmt":"2024-07-25T13:43:02","slug":"dostup-k-dannym-iz-udalyonnyh-i-privatnyh-repozitoriev-na-github-imeyushhih-forki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/dostup-k-dannym-iz-udalyonnyh-i-privatnyh-repozitoriev-na-github-imeyushhih-forki","title":{"rendered":"Accesso ai dati da repository remoti e privati su GitHub con fork","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'azienda Truffle Security ha pubblicato degli scenari di attacco su diversi approcci comuni all'utilizzo di repository su GitHub, che consentono di estrarre dati da repository remoti che hanno fork pubblici o che sono stati creati come fork. <\/p>\n
La possibilit\u00e0 di accedere ai commit tramite l'hash in tutti i fork correlati del repository \u00e8 dovuta al fatto che GitHub, per ottimizzare e ridurre i duplicati, memorizza insieme tutti gli oggetti del repository principale e dei fork, separando logicamente la pertinenza dei commit. Questa modalit\u00e0 di archiviazione consente di visualizzare nel repository principale qualsiasi commit da qualsiasi fork, specificando esplicitamente il suo hash nell'URL. Ad esempio, un utente pu\u00f2 creare un fork del repository '\/torvalds\/linux' e aggiungere qualsiasi codice, dopo di che questo codice sar\u00e0 accessibile tramite un link diretto all'hash nel repository '\/torvalds\/linux'. In caso di eliminazione del repository, se esiste almeno un fork pubblico, i dati del repository eliminato rimangono accessibili tramite l'hash del commit. <\/p>\n
Vengono proposti tre scenari che rappresentano una minaccia alla sicurezza: <\/p>\n
\n
Il primo scenario riguarda situazioni in cui gli sviluppatori creano fork di repository pubblici, apportano modifiche, fanno esperimenti e poi eliminano il fork. Oltre alla fuga di codice non destinato alla pubblicazione, una situazione pericolosa si verifica quando negli esperimenti nel codice dei file di esempio vengono aggiunte chiavi di accesso API funzionanti. In questo caso, un attaccante potrebbe accedere alla modifica tramite l'hash del commit, anche dopo l'eliminazione del fork tramite il repository principale. Ad esempio, utilizzando il metodo proposto, i ricercatori sono riusciti a identificare 30 chiavi di accesso API funzionanti, esaminando tre repository legati all'apprendimento automatico con un numero elevato di fork.\n
Il secondo scenario riguarda la possibilit\u00e0 di accedere ai dati dopo l'eliminazione del repository principale, se per quel repository sono stati creati fork. Un esempio \u00e8 il caso in cui in un repository pubblico di una societ\u00e0 siano stati accidentalmente pubblicati le chiavi private di un dipendente, che consentono l'accesso completo a tutti i repository di tale societ\u00e0 su GitHub. La societ\u00e0 ha rimosso il repository tramite il quale si \u00e8 verificata la fuga di dati, ma le chiavi sono comunque rimaste accessibili per il recupero tramite richieste basate sull'hash del commit nei repository con fork.
<\/center>\n
Il terzo scenario \u00e8 legato al modello di sviluppo di progetti che sviluppano una versione open source di base in un repository pubblico e una versione proprietaria estesa in uno privato. Se una societ\u00e0 ha inizialmente sviluppato un progetto in un repository privato e poi, dopo aver aperto il codice del progetto, lo ha trasferito in pubblico, continuando per\u00f2 lo sviluppo di una versione interna o estesa chiusa in un fork privato, esiste la possibilit\u00e0 di accedere alle modifiche aggiunte al fork privato tramite gli hash dei commit attraverso il repository pubblico. Si noti che l'accesso \u00e8 possibile solo alle modifiche aggiunte al fork privato prima della trasformazione del repository principale in pubblico (i depositi dei repository privati e pubblici sono separati, ma quando due repository erano privati, i commit erano memorizzati insieme, quindi sono rimasti nel repository dopo la sua trasformazione in pubblico).
<\/center> <\/ul>\n
Il trucco che consente di accedere ai commit nei fork di un repository tramite il link al repository principale \u00e8 conosciuto da molti anni ed \u00e8 periodicamente utilizzato per vari scherzi e per ingannare gli sviluppatori (ad esempio, gli scherzosi creano occasionalmente una falsa impressione di backdoor nel repository del kernel Linux su GitHub in questo modo). Come misura per contrastare tali scherzi, GitHub ha aggiunto un avviso che informa che il commit richiesto non appartiene ai rami nel repository attuale e potrebbe appartenere a un fork. Tuttavia, la possibilit\u00e0 di accedere ai commit tramite l'hash in qualsiasi repository collegato ai fork \u00e8 stata considerata innocua, poich\u00e9 per accedere ai dati nei fork remoti e privati \u00e8 necessario conoscere l'hash del commit. <\/p>\n
Trovare l'hash di un commit, generato sulla base dell'algoritmo SHA-1 e composto da 32 caratteri, \u00e8 praticamente impossibile, ma si \u00e8 scoperto che non \u00e8 necessario. GitHub supporta una forma abbreviata per riferirsi ai commit, che consente di indirizzare le modifiche attraverso i primi caratteri dell'hash, se non ci sono sovrapposizioni con altri commit. Il numero minimo di caratteri per l'abbreviazione dell'hash \u00e8 4, il che corrisponde a un totale di 65 mila combinazioni (16^4). Tuttavia, potrebbe non essere necessario effettuare questo tentativo, poich\u00e9 l'API di GitHub consente di collegare gestori per intercettare eventi, che sono utilizzati da progetti di terze parti che mantengono un archivio con un registro completo di tutte le operazioni, in cui le informazioni sugli hash dei commit rimangono anche dopo l'eliminazione dei repository. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Accesso](\"\/wp-content\/uploads\/2024\/07\/45381deb03eaa5be40baf8b4dbf7b481.png\")
<\/center>\n![\"Accesso](\"\/wp-content\/uploads\/2024\/07\/23342cf907bd300699e913297d29b310.png\")
<\/center> <\/ul>\n