26 400 működő felhő- és MI-kulcsot találtak nyilvános Gitee-tárolókban
A kódból már törölt hozzáférési kulcsok is előkerültek Ben Zimmermann vizsgálatában: a kutató a Gitee-tárolók teljes módosítási történetét átnézte. Összesen 26 400 olyan hitelesítő adatot talált, amely a teszteléskor még működött.
A törölt kódrészletekben is maradtak kulcsok
Zimmermann 7,25 millió nyilvános tárolót vizsgált át a kínai kódmegosztó szolgáltatáson. A TruffleHog és a Kingfisher keresőeszközt használta: mindkettő ellenőrizte a talált hozzáférési adatokat az azokat kibocsátó szolgáltatásnál.
A legnagyobb csoportot 9473 Alibaba Cloud AccessKey-pár adta. YouTube-, DeepSeek- és OpenAI-kulcsok is szerepeltek a találatok között. Minden hitelesítő adatot egyszer számoltak, akkor is, ha több tárolóban megjelent.
A működés igazolt, a visszaélés nem
A nagyjából egy hónapos vizsgálat pontos időpontjait a kutató nem adta meg, így nem tudni, mikor próbálta ki a kulcsokat. Arról sem számolt be, hogy más használta-e őket.
Zimmermann értesítette a legtöbb találatban érintett szolgáltatókat, a hozzáféréseket közzétevő fejlesztőket viszont nem. Az eredmények közlésekor még nem volt megerősítése a bejelentett adatok visszavonásáról.
A kulcsot a szolgáltatónál kell visszavonni
Bármely, valaha nyilvános Gitee-tárolóba feltöltött kulcsot kompromittáltnak kell tekinteni. A Truffle Security figyelmeztetése szerint a kód törlése és a módosítási történet átírása sem vonja vissza a hozzáférést.
Az OpenAI tájékoztatása szerint egy kiszivárgott kulccsal más is fogyaszthatja a fiók keretét. Ennek váratlan költség, adatvesztés vagy az API-hozzáférés megszakadása lehet a következménye.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum