החוקר העצמאי Ben Zimmermann סרק כ-7.25 מיליון מאגרים ציבוריים ב-Gitee ומצא 26,400 אישורי ענן ו-AI שעדיין פעילים. הממצאים פורסמו ב-28 באוקטובר בעזרת צוות Kingfisher של MongoDB.
הפרטים
הסריקה כללה את כל היסטוריית ה-commits, ולכן גם מפתחות שנמחקו מהקוד נספרו. כל אישור נספר פעם אחת, וכ-12,242 מהם מתוארכים ל-2025. הרכב הממצאים: 9,473 זוגות AccessKey של Alibaba Cloud, 3,805 מפתחות YouTube API, 3,170 מפתחות DeepSeek, 1,489 של Zhipu ו-1,348 של OpenAI, לצד מספרים קטנים יותר של GitHub, AWS ו-Google Cloud.
החוקר העביר רשימות לספקים עם מספר המפתחות הגבוה ביותר, אך לא פנה למפתחים, ובעת הפרסום לא אישר ביטולים. לא ידוע אם מישהו ניצל את המפתחות.
נקודות לשים לב
- כל מפתח שהיה אי פעם במאגר ציבורי נחשב חשוף. מחיקה או שכתוב היסטוריה אינם מבטלים אותו; יש לבטל אותו אצל הספק.
- ב-Alibaba Cloud: צור זוג מפתחות חדש, העבר אליו את היישומים, ואז השבת ומחק את הישן. בדוק חיובים חריגים ושינויי משאבים; יומן ActionTrail מכסה 90 יום.
- במפתחות OpenAI ו-Google: החלף מפתח, הגדר הגבלות שימוש ותקרת הוצאה.
- הוסף סריקת סודות ל-pipeline. שני הכלים שנבדקו מצאו קבוצות אישורים שונות כמעט לגמרי (רק 1,001 משותפים), ולכן שימוש בשניים נותן כיסוי טוב יותר.
מקורות: MongoDB · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
