Curenje GitHub repozitorija izvođača CISA-e Nightwing otkriva AWS GovCloud ključeve
Javno dostupan GitHub repozitorij povezan s vladinim izvođačem Nightwing izložio je osjetljive autentifikacijske vjerodajnice i ključeve za pristup oblaku povezane sa sustavima koje koriste Agencija za kibernetičku sigurnost i sigurnost infrastrukture (CISA) i Ministarstvo unutarnje sigurnosti. Curenje vjerodajnica izvođača CISA-e na GitHubu izazvalo je trenutačne zahtjeve zakonodavaca koji od CISA-e traže potpuno izvješćivanje o opsegu izloženosti i poduzetim koracima sanacije.
Ovaj incident je oštro podsjetnik da su čak i agencije odgovorne za postavljanje saveznih standarda kibernetičke sigurnosti ranjive na iste temeljne pogreške koje pogađaju organizacije svih veličina.
Što je bilo izloženo u Nightwing GitHub repozitoriju
Repozitorij u središtu incidenta bio je javno vidljiv na GitHubu i sadržavao je ono što su istraživači opisali kao privilegirane vjerodajnice, uključujući autentifikacijske tokene i ključeve za pristup oblaku vezane uz AWS GovCloud okruženja koja koriste CISA i DHS. AWS GovCloud je ograničeno okruženje oblaka izgrađeno posebno za osjetljive radne procese američke vlade, što ovo izlaganje čini posebno značajnim.
Navodno je repozitorij bio imenovan na način koji je sugerirao da bi trebao biti privatan, što upućuje na jednostavnu, ali dalekosežnu pogrešku konfiguracije. Istraživači koji su uočili problem uspjeli su identificirati vjerodajnice prije nego što je repozitorij uklonjen, no čini se da je prozor izloženosti trajao dovoljno dugo da postavi ozbiljna pitanja o tome koliko se brzo takva curenja interno otkrivaju.
Zakonodavci nisu gubili vrijeme s reakcijom. Viši članovi Kongresa sada traže izravno izvješćivanje od CISA-e kako bi razumjeli kojima je sustavima možda pristupljeno, je li neka od vjerodajnica iskorištena i zašto curenje nije ranije otkriveno od strane agencije ili njenog izvođača.
Zašto su curenja autentifikacijskih vjerodajnica posebno opasna
Nisu sva curenja podataka jednako rizična. Izlaganje imena i adresa e-pošte je štetno; izlaganje aktivnih autentifikacijskih vjerodajnica i ključeva za pristup oblaku potpuno je drugačija kategorija prijetnje.
Kada se API ključevi, pristupni tokeni ili vjerodajnice oblaka objave u javnom repozitoriju, svaka osoba koja ih pronađe potencijalno ih može odmah upotrijebiti. Za razliku od proboja lozinki gdje se hashirana vjerodajnica mora probiti prije nego što postane korisna, živi API ključ ili pristupni token spreman je za upotrebu u trenutku kada bude otkriven. Napadači se mogu izravno autentificirati u okruženja oblaka, nabrajati resurse, eskalirati privilegije, eksfiltrirati podatke ili ometati usluge — sve to bez pokretanja vrsta upozorenja koja bi tradicionalni pokušaji upada mogli aktivirati.
U vladinoj se situaciji ulozi uvećavaju osjetljivošću uključenih sustava. AWS GovCloud instance često čuvaju kontrolirane neklasificirane informacije, a pristup tim okruženjima mogao bi protivniku pružiti detaljnu kartu savezne infrastrukture. Čak i ako nije došlo do trenutačnog iskorištavanja, obavještajna vrijednost razumijevanja načina na koji su CISA-ini sustavi strukturirani i autentificirani je značajna.
Kako greške vladinih izvođača ogledaju svakodnevne sigurnosne pogreške
Ono što ovaj incident čini poučnim izvan njegovih trenutačnih političkih posljedica jest koliko je temeljna pogreška obična. Slučajno predavanje vjerodajnica u javni repozitorij dosljedno se navodi kao jedna od najčešćih sigurnosnih grešaka programera. Događa se u startupima, poduzećima, projektima otvorenog koda i, očigledno, unutar ugovornog ekosustava koji podupire vodeću kibernetičku agenciju nacije.
Obrazac institucionalnog lošeg upravljanja podacima koji dovodi do kongresnog nadzora postaje poznat. Nedavno je ShinyHunters proboj Canvas platforme slijedio sličan luk: izvođač ili dobavljač nije uspio zaštititi osjetljive podatke, izloženost je postala javna i zakonodavci su zatražili odgovornost. Pojedinosti se razlikuju, ali strukturalni neuspjeh je isti. Organizacije povjeravaju osjetljive vjerodajnice ili podatke trećim stranama, a te treće strane ne primjenjuju uvijek iste standarde koje primarna organizacija tvrdi da primjenjuje.
Za CISA-u su optički dojmovi posebno neugodni. Agencija je godinama objavljivala smjernice pozivajući i javne i privatne organizacije da izbjegavaju pohranjivanje tajni u repozitorije koda, da redovito rotiraju vjerodajnice i da implementiraju automatizirano skeniranje izloženih ključeva. To što je izvođač učinio upravo ono pred čime CISA upozorava druge narušava autoritet agencije u tim pitanjima i daje municiju kritičarima koji tvrde da je savezni kibernetički sigurnosni stav performativan, a ne praktičan.
Kako spriječiti vlastito izlaganje vjerodajnica na internetu
Nightwing incident je korisna poticaj za svakoga tko upravlja vjerodajnicama — a to danas znači praktički svakog programera, IT stručnjaka, pa čak i mnoge obične korisnike koji se oslanjaju na usluge oblaka ili upravljaju vlastitim alatima.
Evo konkretnih koraka za reviziju i poboljšanje higijene vjerodajnica:
Nikada nemojte tvrdo kodirati vjerodajnice u kodu. Koristite varijable okruženja ili namjenske alate za upravljanje tajnama kako biste vjerodajnice potpuno izbacili iz izvornih datoteka. Ako koristite uslugu koja pruža SDK ili CLI, provjerite njenu dokumentaciju za preporučeni način autentifikacije bez ugrađivanja ključeva u kod.
Skenirajte repozitorije prije guranja. Alati dizajnirani posebno za otkrivanje tajni u kodu mogu se pokrenuti kao pre-commit kuke, označavajući potencijalna curenja prije nego što ikad dostignu udaljeni repozitorij. Vrijedi i pokrenuti skeniranje postojećih repozitorija, i privatnih i javnih.
Redovito rotirajte vjerodajnice i odmah nakon svake sumnje na izloženost. Ako postoji ikakva mogućnost da je vjerodajnica bila vidljiva, tretirajte je kao kompromitiranu i odmah je rotirajte. Mnogi pružatelji usluga oblaka omogućuju izdavanje novog ključa i opoziv starog bez prekida rada.
Koristite kratkovječne vjerodajnice gdje je to moguće. Privremene vjerodajnice s uskim dopuštenjima i automatskim istekom ograničavaju prozor štete ako ikad budu izložene. Pružatelji usluga oblaka sve više podržavaju federaciju identiteta i pristup temeljen na ulogama koji eliminira potrebu za dugotrajnim statičkim ključevima.
Revidirajte pristup trećih strana. Ako koristite izvođače, dobavljače ili integracije otvorenog koda, povremeno pregledajte koje ste vjerodajnice i dopuštenja dodijelili. Opozovite pristup koji više nije potreban.
Što to znači za vas
Curenje vjerodajnica izvođača CISA-e na GitHubu nije samo vladinski problem. Odražava sustavnu slabost u načinu na koji organizacije svih vrsta upravljaju tajnama — slabost koja utječe na svakoga tko pohranjuje vjerodajnice u kodu, koristi usluge oblaka ili se oslanja na izvođače za upravljanje osjetljivim sustavima.
Iskoristite ovo kao poticaj za vlastitu reviziju. Pregledajte repozitorije, provjerite inventar ključeva za pristup oblaku i uvjerite se da vjerodajnice ne žive negdje gdje ne bi trebale. Ista disciplina koju CISA javno zagovara, ali je očigledno nije uspjela interno provoditi, dostupna je svima — i košta daleko manje primijeniti je proaktivno nego čistiti posljedice izloženosti.
Ako agencija zadužena za zaštitu kritične američke infrastrukture može doživjeti ovakvu neugodnost zbog temeljne greške izvođača, to je razuman trenutak da se zapitate je li i vaša vlastita kuća u sličnom redu.
