مخازن گیت هاب راهکار جدید هکرها برای حمله پنهانی به توسعه دهندگان

 کلینت گیلبر پژوهشگر امنیتی گروه NCC با بررسی سیستم های متعلق یک سری از موارد، اصلی ترین عاملی که باعث شکست مکانیسم های امنیتی می شود، به مدیریت نادرست یا درک نادرست روابط بازمی گردد. این عدم شناخت روابط و عدم تمرکز بر تحلیل دقیق روابط میان یک سازمان و توسعه دهندگان باعث شده است تا طیف گستردهای از رخنه های امنیتی در ارتباط با سکوها و کدها به وجود آید. رخنه هایی که در نهایت امکان میسازد.

گیلبر میگوید: «در محیط های متمرکز بر توسعه همچون ایستگاه های کاری، کاربران عمومی، توسعه دهندگان محلی و راه دور، مخازن کد، سیستم های یکپارچه پیوسته و درنهایت سامانه های مرتبط با طراحی و تولید باید یک رابطه درست برقرار باشد. در غیر این صورت، مشکلات امنیتی به وجود می آیند. دیده شده است که در بعضی از سازمانها برای آنکه کارها به شکل سریع تری انجام یا جلسات به سرعت آغاز شوند، کنترل های امنیتی را حذف می کنند یا سطح غیر ایمنی از روابط را به وجود میآورند.»

گیلبر برای آنکه این موضوع را به درستی نشان دهد، در جریان برگزاری کنفرانس نشان داد که چگونه یک ابزار آزمایش نفوذ به نام GitPwnd (که خودش ساخته بود) میتواند به هکرها اجازه دهد با دستگاه های قربانی از طریق مخازن گیت هاب ارتباط برقرار کنند. مخازنی که اطلاعات متعلق به تاریخچه نرمافزارها را در خود جای می دهند.هکرها قادرند فرمان های مخرب را از طریق مخازن گیت هاب برای دستگاه های آسیب پذیر ارسال و در ادامه واکنش را روی همان لایه انتقالی دریافت کنند. قربانی به سختی قادر خواهد بود این ترافیک مخرب را کشف کند. گیلبر گفته است مخازن گیت هاب تنها راهکار هکرها نیستند، به واسطه آنکه از سرویس هایی همچون BitPOCket یا GitLab نیز می توان در این زمینه استفاده کرد. همگان قرار دارد، اما گیلبر گفته است تنها یک هکر ماهر می تواند از آن استفاده کند!