GitHub חשף נתונים על הפריצה לתשתית NPM וזיהוי סיסמאות פתוחות ביומנים

GitHub פרסם את תוצאות ניתוח המתקפה, שבעקבותיו ב-12 באפריל, התוקפים קיבלו גישה לסביבות ענן בשירות Amazon AWS המשמש בתשתית של פרויקט NPM. ניתוח התקרית הראה כי התוקפים קיבלו גישה לעותקי גיבוי של המארח skimdb.npmjs.com, כולל גיבוי מסד נתונים עם אישורים לכ-100 אלף משתמשי NPM נכון לשנת 2015, כולל גיבוב סיסמא, שמות ואימייל.

גיבוב סיסמאות נוצרו באמצעות האלגוריתמים המומלחים PBKDF2 או SHA1, שהוחלפו ב-2017 ב-bcrypt עמיד יותר בכוח. לאחר זיהוי האירוע, אופסו הסיסמאות המושפעות והמשתמשים קיבלו הודעה להגדיר סיסמה חדשה. מכיוון שאימות דו-גורמי חובה עם אישור דוא"ל נכלל ב-NPM מאז 1 במרץ, הסיכון לפגיעה במשתמש מוערך כבלתי משמעותי.

בנוסף, כל קבצי המניפסט והמטא נתונים של חבילות פרטיות החל מאפריל 2021, קבצי CSV עם רשימה עדכנית של כל השמות והגרסאות של החבילות הפרטיות, וכן התוכן של כל החבילות הפרטיות של שני לקוחות GitHub (שמות אינם נחשפים) נפלו לידי התוקפים. באשר למאגר עצמו, ניתוח עקבות ואימות של חבילות חשיפות לא חשפו את התוקפים שמבצעים שינויים בחבילות NPM או פרסום גרסאות חדשות פיקטיביות של חבילות.

המתקפה התרחשה ב-12 באפריל באמצעות אסימוני OAuth גנובים שנוצרו עבור שני אינטגרטורים של צד שלישי GitHub, Heroku ו-Travis-CI. באמצעות האסימונים, התוקפים הצליחו לחלץ ממאגרי GitHub פרטיים את המפתח לגישה ל-Amazon Web Services API, המשמש בתשתית פרויקט NPM. המפתח שהתקבל איפשר גישה לנתונים המאוחסנים בשירות AWS S3.

בנוסף, נחשף מידע על בעיות סודיות חמורות שזוהו בעבר בעת עיבוד נתוני משתמשים בשרתי NPM - הסיסמאות של חלק ממשתמשי NPM, כמו גם אסימוני גישה של NPM, נשמרו בטקסט ברור ביומנים פנימיים. במהלך האינטגרציה של NPM עם מערכת הרישום GitHub, המפתחים לא דאגו להסרה של מידע רגיש מבקשות לשירותי NPM שהוצבו ביומן. נטען כי הפגם תוקן והיומנים נוקו לפני ההתקפה על NPM. רק לעובדים מסוימים של GitHub הייתה גישה ליומנים, שכללו סיסמאות ציבוריות.

מקור: OpenNet.ru