Açık bir repo’ya secret key yüklerseniz neler olur

 (threadreaderapp.com)
17 puan yazan xguru 2020-11-09 | 3 yorum | WhatsApp'ta paylaş

GitHub ve GitLab üzerinde gerçekten denenmiş sonuçların zaman sıralı özeti

  1. AWS anahtarını GitHub’a commit etme

  2. 7 dakika sonra GitGuardian’dan sızıntı uyarısı

  3. 11 dakika sonra token’ın tehlikeye girmesi (compromised, sızdırıldığı için artık güvenli değil)

  4. 2 saat boyunca Almanya/Hollanda/Birleşik Krallık/Ukrayna vb. yerlerden 5 erişim bildirimi

  5. GitHub’un zafiyetli bağımlılıklar (Vulnerable Dependencies) için uyarı e-postası göndermesi

  6. GitLab’a commit etme

  7. 62 dakika sonra token’ın Fransa’da ilk ve son kez kullanılması

  8. GitLab’da hiçbir güvenlik uyarısı alınmaması (güvenlik bildirimleri yalnızca Gold/Ultimate kullanıcılarına sunuluyor)

Çıkarılan dersler

  1. GitLab’a kıyasla GitHub’ı tarayan daha fazla yer var

  2. GitHub kullanıyorsanız GitGuardian hizmetine bir göz atın

  3. GitLab kullanıyorsanız Gold/Ultimate yükseltmesini değerlendirin

  4. Sızıntıyı önceden engellemek için Talisman (pre-commit hook) kullanın

  5. Sızıntı olup olmadığını sonradan kontrol etmek için GitLeaks kullanımını değerlendirin

İlgili okumalar

3 yorum

 
galadbran 2020-11-09

Utanç verici ama ben de bir keresinde bir anahtarı GitHub deposuna yüklemiştim; sonra AWS bana ulaştı. Belirlenen süre içinde gerekli işlemleri yapmazsam anahtarı devre dışı bırakacaklarını, bu yüzden hızlıca anahtarı değiştirmem ve ilgili hesabın parolasını da değiştirmem gibi önlemler almam gerektiğini bildirdiler.
 
xguru 2020-11-09

Bu, hepimizin en az bir kez yaşadığı bir şey değil mi... hahaha