Gentoo Linux GitHub krātuves uzlaušana bija paroles trūkuma rezultāts

GitHub

Aptuveni pirms nedēļas Gentoo Linux GitHub repozitoriju uzlauza krekeris, kurš pēc tam varēja kontrolēt kontu un ievietot ļaunprātīgu kodu distros. Šis kods tika izveidots, lai dzēstu lietotāja datus. Gentoo izstrādātāji varēja diezgan ātri pārņemt kontroli, taču tas bija noraizējies, jo tas varēja nodarīt lielu kaitējumu galalietotāju instalācijām. Turklāt diezgan reti tiek pārņemts visas operētājsistēmas spoguļkoda krātuve.

Par laimi, uzbrucēji nespēja sagādāt lietotājiem daudz skumju, jo viņi pārņēma spoguli tikai failiem, kas parasti tiek glabāti paša Gentoo serveros. Lietotāji lejupielādē kodu no oficiālajiem serveriem, tāpēc pārliecinošākai lielākajai daļai Gentoo lietotāju viss nebija īsti matains.

Izplatītājs tagad ir atklājis, ka kontu pārņēma neautorizēts lietotājs, jo organizācijas administratora parole bija slikta un viegli uzminama. Sarežģīti uzbrukuma vektori netika izmantoti, un tas nebija iekšēja darba rezultāts. Drīzāk bija vienkārši uzminēt lietotāja paroli.

Ieraksts Gentoo Linux wiki, par kuru pēc tam ziņoja vairākas tehnoloģiju ziņu vietnes, liek domāt, ka šai personai bija paroles shēma, kas ļāva viegli uzminēt pieteikšanās akreditācijas datus citām vietnēm, kurās šim lietotājam bija konti.

Lai gan daži komentētāji ir minējuši, ka divu faktoru autorizācijas sistēma, iespējams, ir palīdzējusi novērst šāda veida uzbrukumu, pamata paroles iestatīšana bieži ir ielūgums uz uzbrukumu. Gentoo ir ļoti gaidāms ar detaļām, un viņi ir ieviesuši virkni jaunu drošības pasākumu, kuriem vajadzētu mazināt risku, ka tas notiks nākotnē.

Tomēr galalietotājiem nebija īsti iespēju pārbaudīt, vai viņu kokā ir tīras programmatūras kopijas. Gentoo arī atzīst, ka nākotnē viņiem ir jāprecizē skaidrāki norādījumi un jāpaskaidro, kā viņi var novērst, ka kompromitētās sistēmas izpilda kodu, kas pievienots ļaunprātīgām darbībām.

Lietotājiem varēja būt daudz sliktāk galalietotājiem, taču Gentoo izstrādātāji un projektu vadītāji ir paziņojuši, ka viņi pilnībā saprot, ka klusāks uzbrukums potenciāli ļautu ilgākam krekeru iespēju periodam.