NPM ഇൻഫ്രാസ്ട്രക്ചറിന്റെ ഹാക്കിംഗ്, ലോഗുകളിലെ തുറന്ന പാസ്‌വേഡുകൾ തിരിച്ചറിയൽ എന്നിവയെ കുറിച്ചുള്ള ഡാറ്റ GitHub വെളിപ്പെടുത്തി.

ആക്രമണത്തിന്റെ വിശകലനത്തിന്റെ ഫലങ്ങൾ GitHub പ്രസിദ്ധീകരിച്ചു, അതിന്റെ ഫലമായി ഏപ്രിൽ 12 ന്, NPM പ്രോജക്റ്റിന്റെ ഇൻഫ്രാസ്ട്രക്ചറിൽ ഉപയോഗിക്കുന്ന ആമസോൺ AWS സേവനത്തിൽ ആക്രമണകാരികൾക്ക് ക്ലൗഡ് പരിതസ്ഥിതികളിലേക്ക് പ്രവേശനം ലഭിച്ചു. പാസ്‌വേഡ് ഹാഷുകളും പേരുകളും ഇമെയിലും ഉൾപ്പെടെ, 100-ലെ കണക്കനുസരിച്ച് ഏകദേശം 2015 NPM ഉപയോക്താക്കൾക്കുള്ള ക്രെഡൻഷ്യലുകളുള്ള ഒരു ഡാറ്റാബേസ് ബാക്കപ്പ് ഉൾപ്പെടെ, skimdb.npmjs.com ഹോസ്റ്റിന്റെ ബാക്കപ്പ് പകർപ്പുകളിലേക്ക് ആക്രമണകാരികൾക്ക് ആക്‌സസ് ലഭിച്ചതായി സംഭവത്തിന്റെ വിശകലനം കാണിക്കുന്നു.

ഉപ്പിട്ട PBKDF2 അല്ലെങ്കിൽ SHA1 അൽഗോരിതങ്ങൾ ഉപയോഗിച്ചാണ് പാസ്‌വേഡ് ഹാഷുകൾ സൃഷ്‌ടിച്ചത്, അവ 2017-ൽ കൂടുതൽ ബ്രൂട്ട് ഫോഴ്‌സ്-റെസിസ്റ്റന്റ് bcrypt ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിച്ചു. സംഭവം തിരിച്ചറിഞ്ഞുകഴിഞ്ഞാൽ, ബാധിതമായ പാസ്‌വേഡുകൾ പുനഃസജ്ജമാക്കുകയും പുതിയ പാസ്‌വേഡ് സജ്ജീകരിക്കാൻ ഉപയോക്താക്കളെ അറിയിക്കുകയും ചെയ്തു. മാർച്ച് 1 മുതൽ ഇമെയിൽ സ്ഥിരീകരണത്തോടുകൂടിയ നിർബന്ധിത രണ്ട്-ഘടക പരിശോധന എൻ‌പി‌എമ്മിൽ ഉൾപ്പെടുത്തിയിരിക്കുന്നതിനാൽ, ഉപയോക്തൃ വിട്ടുവീഴ്‌ചയുടെ അപകടസാധ്യത നിസ്സാരമാണെന്ന് വിലയിരുത്തപ്പെടുന്നു.

കൂടാതെ, 2021 ഏപ്രിൽ വരെയുള്ള സ്വകാര്യ പാക്കേജുകളുടെ എല്ലാ മാനിഫെസ്റ്റ് ഫയലുകളും മെറ്റാഡാറ്റയും, സ്വകാര്യ പാക്കേജുകളുടെ എല്ലാ പേരുകളുടെയും പതിപ്പുകളുടെയും കാലികമായ ലിസ്റ്റ് ഉള്ള CSV ഫയലുകൾ, കൂടാതെ രണ്ട് GitHub ക്ലയന്റുകളുടെ (പേരുകൾ) എല്ലാ സ്വകാര്യ പാക്കേജുകളുടെയും ഉള്ളടക്കം വെളിപ്പെടുത്തിയിട്ടില്ല) അക്രമികളുടെ കൈകളിൽ അകപ്പെട്ടു. ശേഖരണത്തെ സംബന്ധിച്ചിടത്തോളം, ട്രെയ്‌സുകളുടെ വിശകലനവും പാക്കേജ് ഹാഷുകളുടെ പരിശോധനയും ആക്രമണകാരികൾ NPM പാക്കേജുകളിൽ മാറ്റങ്ങൾ വരുത്തുകയോ പാക്കേജുകളുടെ സാങ്കൽപ്പിക പുതിയ പതിപ്പുകൾ പ്രസിദ്ധീകരിക്കുകയോ ചെയ്തതായി വെളിപ്പെടുത്തിയില്ല.

രണ്ട് മൂന്നാം കക്ഷി GitHub ഇന്റഗ്രേറ്റർമാരായ Heroku, Travis-CI എന്നിവയ്ക്കായി സൃഷ്ടിച്ച മോഷ്ടിച്ച OAuth ടോക്കണുകൾ ഉപയോഗിച്ച് ഏപ്രിൽ 12 നാണ് ആക്രമണം നടന്നത്. ടോക്കണുകൾ ഉപയോഗിച്ച്, NPM പ്രോജക്റ്റ് ഇൻഫ്രാസ്ട്രക്ചറിൽ ഉപയോഗിക്കുന്ന Amazon Web Services API ആക്‌സസ് ചെയ്യുന്നതിനുള്ള കീ സ്വകാര്യ GitHub ശേഖരണങ്ങളിൽ നിന്ന് ആക്രമണകാരികൾക്ക് വേർതിരിച്ചെടുക്കാൻ കഴിഞ്ഞു. തത്ഫലമായുണ്ടാകുന്ന കീ AWS S3 സേവനത്തിൽ സംഭരിച്ചിരിക്കുന്ന ഡാറ്റയിലേക്ക് ആക്സസ് അനുവദിച്ചു.

കൂടാതെ, എൻ‌പി‌എം സെർവറുകളിൽ ഉപയോക്തൃ ഡാറ്റ പ്രോസസ്സ് ചെയ്യുമ്പോൾ മുമ്പ് തിരിച്ചറിഞ്ഞ ഗുരുതരമായ രഹസ്യാത്മക പ്രശ്‌നങ്ങളെക്കുറിച്ചുള്ള വിവരങ്ങൾ വെളിപ്പെടുത്തി - ചില എൻ‌പി‌എം ഉപയോക്താക്കളുടെ പാസ്‌വേഡുകളും എൻ‌പി‌എം ആക്‌സസ് ടോക്കണുകളും ആന്തരിക ലോഗുകളിൽ വ്യക്തമായ വാചകത്തിൽ സംഭരിച്ചു. NPM-നെ GitHub ലോഗിംഗ് സിസ്റ്റവുമായി സംയോജിപ്പിക്കുന്ന സമയത്ത്, ലോഗിൽ സ്ഥാപിച്ചിട്ടുള്ള NPM സേവനങ്ങളിലേക്കുള്ള അഭ്യർത്ഥനകളിൽ നിന്ന് സെൻസിറ്റീവ് വിവരങ്ങൾ നീക്കം ചെയ്തതായി ഡെവലപ്പർമാർ ഉറപ്പു വരുത്തിയില്ല. എൻപിഎമ്മിന് നേരെയുള്ള ആക്രമണത്തിന് മുമ്പ് തകരാർ പരിഹരിച്ച് മരത്തടികൾ മായ്‌ച്ചെന്നാണ് ആരോപണം. ചില GitHub ജീവനക്കാർക്ക് മാത്രമേ പൊതു പാസ്‌വേഡുകൾ ഉൾപ്പെടുന്ന ലോഗുകളിലേക്ക് ആക്‌സസ് ഉണ്ടായിരുന്നുള്ളൂ.

അവലംബം: opennet.ru