GitHub는 NPM 인프라 해킹 및 로그에서 공개 비밀번호 공개에 ​​대한 데이터를 공개했습니다.

GitHub는 공격 분석 결과를 발표했으며, 그 결과 12월 100일 공격자는 NPM 프로젝트 인프라에 사용되는 Amazon AWS 서비스의 클라우드 환경에 접근할 수 있게 되었습니다. 사건 분석에 따르면 공격자는 비밀번호 해시, 이름, 이메일을 포함하여 2015년 현재 약 XNUMX만 명의 NPM 사용자에 대한 자격 증명이 포함된 데이터베이스 백업을 포함하여 skimdb.npmjs.com 호스트의 백업 복사본에 액세스할 수 있는 것으로 나타났습니다.

비밀번호 해시는 솔트 처리된 PBKDF2 또는 SHA1 알고리즘을 사용하여 생성되었으며, 이는 2017년에 무차별 대입에 더 강한 bcrypt로 대체되었습니다. 사건이 확인되면 영향을 받은 비밀번호가 재설정되고 사용자에게 새 비밀번호를 설정하라는 알림이 전달되었습니다. 1월 XNUMX일부터 이메일 확인을 통한 이중 인증이 NPM에 의무적으로 포함되었기 때문에 사용자 침해 위험은 미미한 것으로 평가됩니다.

또한 2021년 XNUMX월 현재 비공개 패키지의 모든 매니페스트 파일과 메타데이터, 비공개 패키지의 모든 이름과 버전에 대한 최신 목록이 포함된 CSV 파일과 두 GitHub 클라이언트(이름)의 모든 비공개 패키지 콘텐츠가 포함되어 있습니다. 공개되지 않음)이 공격자의 손에 넘어갔습니다. 저장소 자체의 경우, 추적 분석과 패키지 해시 확인을 통해 공격자가 NPM 패키지를 변경하거나 가상의 새 버전의 패키지를 게시한 사실이 밝혀지지 않았습니다.

이 공격은 12월 3일 두 타사 GitHub 통합업체인 Heroku와 Travis-CI에 대해 생성된 훔친 OAuth 토큰을 사용하여 발생했습니다. 공격자는 토큰을 사용하여 NPM 프로젝트 인프라에 사용되는 Amazon Web Services API에 액세스하기 위한 키를 비공개 GitHub 리포지토리에서 추출할 수 있었습니다. 결과 키는 AWS SXNUMX 서비스에 저장된 데이터에 대한 액세스를 허용했습니다.

또한 NPM 서버에서 사용자 데이터를 처리할 때 이전에 확인된 심각한 기밀 문제에 대한 정보가 공개되었습니다. 일부 NPM 사용자의 비밀번호와 NPM 액세스 토큰은 내부 로그에 일반 텍스트로 저장되었습니다. NPM을 GitHub 로깅 시스템과 통합하는 동안 개발자는 로그에 있는 NPM 서비스에 대한 요청에서 민감한 정보가 제거되었는지 확인하지 않았습니다. NPM에 대한 공격이 발생하기 전에 결함이 수정되고 로그가 지워진 것으로 추정됩니다. 특정 GitHub 직원만 공개 비밀번호가 포함된 로그에 액세스할 수 있었습니다.

출처 : opennet.ru