CISA Müteahhiti Nightwing'in GitHub Sızıntısı AWS GovCloud Anahtarlarını Açığa Çıkardı
Hükümet müteahhiti Nightwing ile bağlantılı, kamuya açık bir GitHub deposu; Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ve İç Güvenlik Bakanlığı tarafından kullanılan sistemlere ait hassas kimlik doğrulama bilgilerini ve bulut erişim anahtarlarını ifşa etti. GitHub'daki CISA müteahhit kimlik bilgisi sızıntısı, yasama organı üyelerinden anlık talepler doğurdu; milletvekilleri CISA'dan ifşaatın boyutu ve hangi iyileştirme adımlarının atıldığı konusunda kapsamlı bir brifing talep ediyor.
Bu olay, federal siber güvenlik standartlarını belirleme sorumluluğunu taşıyan ajansların bile her ölçekteki kuruluşu etkileyen temel hatalardan muaf olmadığının çarpıcı bir hatırlatıcısıdır.
Nightwing GitHub Deposunda Neler Açığa Çıktı
Olayın odağındaki depo, GitHub üzerinde kamuya açık biçimde görünür durumdaydı ve araştırmacıların tanımladığına göre CISA ile DHS tarafından kullanılan AWS GovCloud ortamlarına bağlı kimlik doğrulama token'ları ile bulut erişim anahtarları dahil olmak üzere ayrıcalıklı kimlik bilgileri içeriyordu. AWS GovCloud, özellikle hassas ABD hükümeti iş yükleri için tasarlanmış kısıtlı bir bulut ortamıdır; bu durum ifşaatı özellikle önemli kılmaktadır.
Deponun, özel olması gerektiğini ima eden bir şekilde adlandırıldığı bildirildi; bu da basit ama sonuçları ağır bir yanlış yapılandırmaya işaret ediyor. Sorunu tespit eden araştırmacılar, depo kaldırılmadan önce kimlik bilgilerini belirleyebildi; ancak ifşaat penceresi, ajansın veya müteahhidinin bu tür sızıntıları ne kadar hızlı tespit ettiğine dair ciddi sorular doğuracak kadar uzun sürmüş görünüyor.
Yasama organı üyeleri vakit kaybetmeden harekete geçti. Kongre'nin kıdemli üyeleri şu anda hangi sistemlere erişilmiş olabileceğini, herhangi bir kimlik bilgisinin kötüye kullanılıp kullanılmadığını ve sızıntının neden ajans ya da müteahhidi tarafından daha erken yakalanmadığını anlamak amacıyla CISA'dan doğrudan bir brifing talep ediyor.
Kimlik Doğrulama Bilgisi Sızıntıları Neden Özellikle Tehlikelidir
Her veri sızıntısı aynı risk profiline sahip değildir. Ad ve e-posta adreslerinin ifşa edilmesi zararlıdır; ancak aktif kimlik doğrulama bilgilerinin ve bulut erişim anahtarlarının ifşa edilmesi tamamen farklı bir tehdit kategorisidir.
API anahtarları, erişim token'ları veya bulut kimlik bilgileri kamuya açık bir depoda yayımlandığında, bunları bulan herkes potansiyel olarak anında kullanabilir. Kullanılmadan önce kırılması gereken karma bir kimlik bilgisinin ifşa edildiği bir parola ihlaline kıfarklı olarak, canlı bir API anahtarı veya erişim token'ı keşfedildiği anda kullanıma hazırdır. Saldırganlar, bulut ortamlarına doğrudan kimlik doğrulaması yapabilir, kaynakları listeleyebilir, ayrıcalıkları yükseltebilir, verileri dışarı sızdırabilir ya da hizmetleri aksatabilir; tüm bunları geleneksel izinsiz giriş girişimlerinin tetikleyebileceği uyarı mekanizmalarını devreye sokmadan gerçekleştirebilirler.
Bir devlet bağlamında riskler, söz konusu sistemlerin hassasiyeti nedeniyle daha da büyür. AWS GovCloud örnekleri çoğunlukla kontrollü sınıflandırılmamış bilgiler barındırır ve bu ortamlara erişim, bir düşmana federal altyapının ayrıntılı bir haritasını sunabilir. Anlık bir istismar yaşanmamış olsa bile, CISA'nın sistemlerinin nasıl yapılandırıldığını ve kimlik doğrulamasının nasıl işlediğini anlamanın istihbarat değeri son derece yüksektir.
Hükümet Müteahhidi Hatalarının Gündelik Güvenlik Hatalarıyla Örtüşmesi
Bu olayı anlık siyasi yansımalarının ötesinde öğretici kılan şey, altta yatan hatanın ne kadar sıradan olduğudur. Kimlik bilgilerini yanlışlıkla kamuya açık bir depoya kaydetmek, en yaygın geliştirici güvenlik hataları arasında sürekli olarak en üst sıralarda yer alır. Bu durum girişimlerde, büyük şirketlerde, açık kaynaklı projelerde ve görünüşe göre ülkenin en üst düzey siber güvenlik ajansını destekleyen müteahhitlik ekosisteminde de yaşanmaktadır.
Kurumsal veri yönetimi hatalarının kongre denetimine yol açması örüntüsü artık tanıdık hale geliyor. Kısa süre önce yaşanan Canvas'ın ShinyHunters ihlali de benzer bir seyir izledi: bir müteahhit ya da satıcı hassas verileri koruyamadı, ifşaat kamuoyuna yansıdı ve yasama organı üyeleri hesap sordu. Ayrıntılar farklı olsa da yapısal başarısızlık aynıdır. Kuruluşlar hassas kimlik bilgilerini ya da verileri üçüncü taraflara teslim eder; bu üçüncü taraflar ise asıl kuruluşun uyduğunu iddia ettiği standartları her zaman uygulamaz.
CISA açısından görüntü özellikle rahatsız edicidir. Ajans, yıllardır hem kamu hem de özel sektör kuruluşlarını kod depolarında gizli bilgi saklamamaya, kimlik bilgilerini düzenli olarak yenilemeye ve açığa çıkmış anahtarlar için otomatik tarama uygulamaya çağıran rehberler yayımlamaktadır. Bir müteahhidin tam olarak CISA'nın başkalarını yapmama konusunda uyardığı şeyi yapması, ajansın bu konulardaki otoritesini zayıflatmakta ve federal siber güvenlik duruşunun pratik değil göstermelik olduğunu öne süren eleştirmenlere zemin hazırlamaktadır.
Kendi Kimlik Bilgilerinizin Çevrimiçi Olarak İfşa Edilmesini Nasıl Önlersiniz
Nightwing olayı, kimlik bilgilerini yöneten herkes için —ki bu günümüzde neredeyse her geliştiriciyi, BT profesyonelini ve bulut hizmetlerine güvenen ya da kendi araçlarını yöneten pek çok normal kullanıcıyı kapsamaktadır— somut bir uyarı niteliğindedir.
Kimlik bilgisi hijyeninizi denetlemek ve iyileştirmek için somut adımlar:
Kimlik bilgilerini asla koda sabit olarak yazmayın. Kimlik bilgilerini kaynak dosyalardan tamamen uzak tutmak için ortam değişkenleri veya özel gizli bilgi yönetim araçları kullanın. SDK veya CLI sağlayan bir hizmet kullanıyorsanız, anahtarları koda gömmeden kimlik doğrulama yapmanın önerilen yolunu öğrenmek için belgelerine başvurun.
Göndermeden önce depolarınızı tarayın. Koddaki gizli bilgileri tespit etmek üzere tasarlanmış araçlar, ön kayıt kancaları olarak çalışarak potansiyel sızıntıları uzak depoya ulaşmadan önce işaretleyebilir. Hem özel hem de genel mevcut depolar üzerinde de tarama yapmak faydalıdır.
Kimlik bilgilerini düzenli olarak ve herhangi bir ifşaat şüphesinin hemen ardından yenileyin. Bir kimlik bilgisinin görünür olma ihtimali varsa, onu ele geçirilmiş sayın ve gecikmeksizin yenileyin. Pek çok bulut sağlayıcısı, kesinti yaşatmadan yeni bir anahtar oluşturmanıza ve eskisini iptal etmenize olanak tanır.
Mümkün olduğunda kısa ömürlü kimlik bilgileri kullanın. Dar izinlere sahip ve otomatik sona erme tarihli geçici kimlik bilgileri, ifşa edilmeleri halinde hasar penceresini sınırlar. Bulut sağlayıcıları giderek daha fazla, uzun ömürlü statik anahtarlara olan ihtiyacı ortadan kaldıran kimlik federasyonu ve rol tabanlı erişimi desteklemektedir.
Üçüncü taraf erişimini denetleyin. Müteahhit, satıcı veya açık kaynaklı entegrasyon kullanıyorsanız, hangi kimlik bilgilerini ve izinleri verdiğinizi periyodik olarak gözden geçirin. Artık gerekmeyen erişimi iptal edin.
Bu Sizin İçin Ne Anlama Geliyor
GitHub'daki CISA müteahhit kimlik bilgisi sızıntısı yalnızca bir hükümet sorunu değildir. Kimlik bilgilerini koda yazan, bulut hizmetleri kullanan ya da hassas sistemleri yönetmek için müteahhitlere güvenen her türlü kuruluşu etkileyen, gizli bilgilerin nasıl ele alındığına dair sistemik bir zayıflığı yansıtmaktadır.
Bunu kendi denetiminizi yapmanız için bir fırsat olarak değerlendirin. Depolarınızı gözden geçirin, bulut erişim anahtarı envanterinizi kontrol edin ve hiçbir kimlik bilgisinin bulunmaması gereken bir yerde yaşamadığından emin olun. CISA'nın kamuoyu önünde savunduğu ancak görünüşe göre dahili olarak uygulamayı başaramadığı disiplin herkese açıktır ve proaktif biçimde uygulamanın maliyeti, bir ifşaatın ardından temizlik yapmanın maliyetinden çok daha düşüktür.
Kritik ABD altyapısını korumakla görevli ajans bile bir müteahhidin temel hatasıyla bu tür bir utanç yaşayabiliyorsa, kendi evinizin de benzer şekilde düzenli olup olmadığını sorgulamak için makul bir an budur.
