{"id":118226,"date":"2024-07-25T15:43:00","date_gmt":"2024-07-25T13:43:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostup-k-dannym-iz-udalyonnyh-i-privatnyh-repozitoriev-na-github-imeyushhih-forki"},"modified":"2024-07-25T15:43:00","modified_gmt":"2024-07-25T13:43:02","slug":"dostup-k-dannym-iz-udalyonnyh-i-privatnyh-repozitoriev-na-github-imeyushhih-forki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/dostup-k-dannym-iz-udalyonnyh-i-privatnyh-repozitoriev-na-github-imeyushhih-forki","title":{"rendered":"Toegang tot gegevens uit externe en priv\u00e9-repositories op GitHub met forks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Het bedrijf Truffle Security heeft aanvalsscenario's gepubliceerd voor verschillende standaardmethoden van werken met repositories op GitHub, waarmee gegevens kunnen worden ge\u00ebxtraheerd uit externe repositories die openbare forks hebben of die zijn gemaakt als forks. <\/p>\n
Toegang tot commits via de hash in alle gerelateerde forks van de repository is mogelijk omdat GitHub ter optimalisatie en ter voorkoming van duplicaten alle objecten uit de hoofdrepository en de forks samen opslaat, waarbij het eigendom van de commits slechts logisch wordt gescheiden. Deze opslagmethode maakt het mogelijk om in de hoofdrepository elke commit van elke fork te bekijken door de hash expliciet in de URL op te geven. Een gebruiker kan bijvoorbeeld een fork van de repository '\/torvalds\/linux' maken en daar iedere code aan toevoegen, waarna deze code toegankelijk wordt via een directe hash-link in de repository '\/torvalds\/linux'. In geval van verwijdering van de repository, blijven de gegevens van de verwijderde repository beschikbaar via de commit-hash, zolang er ten minste \u00e9\u00e9n publieke fork bestaat. <\/p>\n
Er worden drie scenario's gepresenteerd die een beveiligingsrisico vormen: <\/p>\n
\n
Het eerste scenario betreft situaties waarin ontwikkelaars forks van openbare repositories maken, daarin wijzigingen aanbrengen, experimenteren en deze vervolgens verwijderen. Naast het uitlekken van code die niet bedoeld is voor publicatie, vormt de situatie waarin werkende API-toegangssleutels in de voorbeeldbestanden van experimenten worden toegevoegd een gevaar. In dit geval kan de aanvaller toegang krijgen tot de wijziging op basis van de commit hash, die na verwijdering van de fork via de hoofdrepository kan worden aangesproken. Bijvoorbeeld, op deze manier konden onderzoekers 30 werkende API-toegangssleutels identificeren door drie gerelateerde repositories met machine learning te bestuderen die veel forks hadden.\n
Het tweede scenario betreft de mogelijkheid om toegang te krijgen tot gegevens na het verwijderen van de primaire repository, als er forks van die repository zijn gemaakt. Ter illustratie wordt een geval aangehaald waarin in een openbare repository van een bedrijf per ongeluk de priv\u00e9sleutels van een van de medewerkers zijn gepubliceerd, waarmee volledige toegang tot alle repositories van dat bedrijf op GitHub verkregen kon worden. Het bedrijf heeft de repository verwijderd waardoor de lek plaatsvond, maar de sleutels zijn nog steeds toegankelijk voor extractie via verzoeken op de commit-hash in de repositories met forks.
<\/center>\n
Het derde scenario is gerelateerd aan het model voor projectontwikkeling, waarbij een basisversie in een openbare repository wordt ontwikkeld en een uitgebreide propri\u00ebtaire versie in een private. Als een bedrijf aanvankelijk een project in een private repository ontwikkelde en vervolgens na het openstellen van de projectcode deze omzette naar een publieke status, maar ook de ontwikkeling van een interne of uitgebreide versie in een private fork voortzette, bestaat er een mogelijkheid om toegang te krijgen tot de wijzigingen die aan de private fork zijn toegevoegd via de commit-hashes via de openbare repository. Hierbij is toegang alleen mogelijk tot de wijzigingen die aan de private fork zijn toegevoegd v\u00f3\u00f3r de omzetting van de hoofdrepository naar een publieke status (de opslagplaatsen van private en openbare repositories zijn gescheiden, maar wanneer twee repositories private waren, werden de commits samen opgeslagen, zodat ze in de repository bleven na de omzetting naar een publieke status).
<\/center> <\/ul>\n
De truc waarmee toegang kan worden verkregen tot commits in de forks van een repository via een link naar de hoofdrepository is al vele jaren bekend en wordt af en toe gebruikt voor verschillende grappen en om ontwikkelaars te misleiden (bijvoorbeeld, grappenmakers cre\u00ebren af en toe op deze manier de schijn van backdoor-invoegingen in de kernelrepository van Linux op GitHub). Als maatregel om dergelijke grappen tegen te gaan heeft GitHub een waarschuwing toegevoegd dat de aangevraagde commit niet behoort tot de takken in de huidige repository en mogelijk toebehoort aan een fork. Daarbij werd de mogelijkheid om toegang te krijgen tot commits via de hash in enige gerelateerde forks van de repository als onschuldig beschouwd, aangezien toegang tot gegevens in externe en private forks vereist dat de commit-hash bekend is. <\/p>\n
Het is onrealistisch om de commit-hash, die is opgebouwd op basis van het SHA-1-algoritme en 32 tekens bevat, te raden, maar het blijkt dat dit ook niet nodig is. GitHub ondersteunt een verkorte vorm om naar commits te verwijzen, waarmee wijzigingen kunnen worden aangeduid aan de hand van enkele eerste tekens van de hash, zolang er geen overlap is met andere commits. Het minimum aantal tekens voor verkorte adressatie van de hash is 4, wat overeenkomt met het doorlopen van slechts 65 duizend combinaties (16^4). Bovendien kan het doorlopen misschien zelfs niet nodig zijn, aangezien de GitHub API het mogelijk maakt om handlers aan te sluiten voor het onderscheppen van gebeurtenissen, die worden gebruikt door externe projecten die een archief bijhouden met een volledige log van alle bewerkingen, waarin informatie over commit-hashes ook na verwijdering van de repositories blijft bestaan. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Toegang](\"\/wp-content\/uploads\/2024\/07\/45381deb03eaa5be40baf8b4dbf7b481.png\")
<\/center>\n![\"Toegang](\"\/wp-content\/uploads\/2024\/07\/23342cf907bd300699e913297d29b310.png\")
<\/center> <\/ul>\n