انتحال الهوية في إجراءات جيت هاب: علامات مزيفة تسرق بيانات اعتماد سي آي/سي دي

تهديد جديد يهز نظام DevOps البيئي. تم اكتشاف هجوم انتحال في GitHub حيث تم إعادة توجيه علامات الإجراءات الشائعة إلى ارتكابات خبيثة. الهدف: سرقة بيانات اعتماد التكامل والنشر المستمر، مستغلين الثقة العمياء في المكونات المستخدمة على نطاق واسع.

آلية الهجوم: تعديل المراجع في خطوط الأنابيب 🛡️

قام المهاجمون بتعديل مراجع علامات إجراءات GitHub لتوجيهها إلى إصدارات مزيفة. عند تنفيذ خط الأنابيب، يتم تنشيط الكود الخبيث دون إثارة الشكوك، مستخرجًا رموز الوصول ومفاتيح SSH المخزنة في أسرار المستودع. تستغل هذه الطريقة نقص التحقق من سلامة التبعيات، وهي نقطة عمياء شائعة في سلاسل توريد البرمجيات. الحل الفوري يتمثل في استخدام تجزئات SHA بدلاً من العلامات المتحركة.

الثقة العمياء: الرياضة المفضلة للمطور الحديث 🤦

اتضح أن وضع كل الثقة في علامة GitHub دون سؤال هو مثل ترك مفاتيح السيارة في مكان التشغيل مع تشغيل المحرك. يعلم المهاجمون أننا نحب راحة علامة بسيطة مثل v1.2.3، وقد ردوا لنا ذلك بسرقة بيانات الاعتماد. ربما حان الوقت لتعلم قراءة ارتكابات SHA، أو على الأقل، عدم الثقة كثيرًا فيما ننسخه من Stack Overflow.