GitHub被黑!不明人士冒充CEO外流机密程序代码

YouTube -dl事件刚过去,GitHub又登上Hacker News榜首。原因是程序代码全遭外流!

从开发者Resynth的博客文了解,一个向GitHub官方DMCA数据库提交的可疑Commit,不明身份人员利用GitHub应用程序的bug假冒GitHub CEO Nat Friedman上传机密程序代码。

泄露文件已全部移除。

GitHub想必大家都非常熟悉,是大型程序代码存储库,主要为企业和开发人员提供托管项目和服务程序代码。苹果、亚马逊、Google、Facebook及其他许多大型科技公司都是主要用户。同时GitHub被托管超过1亿个程序库,为4千万开发人员提供资源支持。

因此泄露事件一出便迅速冲上Hacker News热搜,不少开发者表示为GitHub平台的安全性担忧。

Friedman第一时间解释,表示GitHub没有被黑客入侵,泄露的是部分GitHub Enterprise Server程序代码。两者虽然共享大量程序代码,但GitHub主要是由Ruby编写,还是有很大差别。

事件起因是几个月前,开发人员无意间将企业服务器程序代码的未脱敏/混淆的tarball交给一些用户。他们正全力修复Bug,防止未经授权的不明人士通过虚拟身份随意盗用、修改他人项目。

Friedman为了安抚用户,甚至还引用勃朗宁的诗:一切都很好,情况也很正常,云雀展翅飞翔,蜗牛在荆棘上爬动,世上一切顺常!

不过开发者并不买帐。从吐槽来看,Github程序代码管理系统早有多只Bug,如提交程序代码时,Git不会验证用户身份,造成极大安全风险,但GitHub从未重视。

另外有人表示正是利用这点,不明人士才顺利冒充Friedman发出机密程序代码。

程序代码管理者Git有Bug

Git是Github托管程序代码的分布式版本管理系统,简单来说,就是程序代码管理者。但设计有明显的缺陷,即没有为防止其他用户盗用提供太多保护。举例说,Git上传程序代码的过程,类似发送电子邮件,用户可在user.name和user.email字段输入任何信息,如果两字段不采用GPG加密键连接,系统就不会验证它的指定来源,造假非常容易。

不明人士顺利提交成功,显然是Friedman没为相关字段创建GPG(General Planning Group)加密键。

那绕过这层限制后,不明人士又如何提交至程序库,同时又不损害其他账号?据了解,提交内容上传到Git程序库会得到散列值,可用于寻找树。GitHub是Web应用程序的一部分,提供浏览器底层Git架构的访问权,因此可将Git程序库所有分支存到一个单独底层程序库,尽管通常不会在URL架构显示。

为了假冒别人,不明人士首先需要复制一个DMCA程序库。延伸到程序库后,再提交泄露程序代码,并伪造Friedman姓名和信箱。过程Fork程序库可能会出现错误,换句话说,URL可能依然指向假冒者真正的用户名和账号。

但在底层Git,父级和Fork都是同个程序库的一部分,允许假冒者创建一个URL,可在内存程序库提交,而不是在Fork。

因此,假冒者从https://github.com/github/dmca开始,将tree/$hash加到尾端,其中$hash是攻击者自己的fork提交散列值,故假冒者得以假冒Friedman使用一个URL在GitHub提交自己的机密程序代码。

除了程序代码安全性担忧,也再度引起开发者对GitHub开源态度的关注。长久以来,GitHub一直因未公开程序代码饱受批评,恰好前几日,GitHub再因封杀下载视频神器YouTube-dl陷入舆论风波。

此次泄露事件很可能是不知名开发者对封杀YouTube-dl的报复。

或许与下架YouTube-dl有关

10月美国唱片业协会(RIAA)提出要求,故GitHub禁止7.5万颗星的热门开源项目YouTube-dl。

当时RIAA的理由是,YouTube-dl违反DMCA反规避条款:

此程序代码的明确目的是:1. 规避YouTube等授权流媒体服务使用的技术保护措施;2. 未经授权复制和传播会员公司拥有的音乐视频和音频。3. 除YouTube外,支持更多影音网站下载视频。

但GitHub下架YouTube-dl激怒了开发者,复制并上传大量程序代码副本到GitHub,对下架行为表示抗议。目前去GitHub搜索YouTube-dl,相关结果高达4,108项。

后来GitHub法律团队不得不警告,如果继续发布程序代码副本,可能会封号处理。

请注意,未遵循流程的情况下发布YouTube-dl程序代码副本违反GitHub平台DMCA政策和服务条款。如果您在明知违反服务条款的情况下,继续向程序库提交或发布相关内容,我们会移除,并可能中止账号的访问权。

虽然造成泄露事件的不知名人士并未表态,但有人猜测称可能是对GitHub下架YouTube-dl的报复。

Friedman回应泄露事件的帖子下也可看到,不少网友对GitHub因DMCA协议下架YouTube-dl表示不满。

有位用户表示,GitHub之所以这么做,很可能因微软是RIAA成员。他说,DMCA要求下架不是让程序代码版权所有者本身下架,GitHub身为倡导开源的独立公司,不需遵守RIAA的非法要求。

可看出网友不满正是因下架与GitHub最初开源里念背道而驰。

GitHub开源精神惹争议

2018年,微软以75亿美元收购GitHub。新CEO Nat Friedman曾表示:GitHub将始终坚持开发者优先并独立运营。

Resynth博客文章也表示:微软一再强调致力开源,这点我们从很多商业广告经常看到,目的是让微软处于开源发展的最前线。

但现在来看,微软似乎没有做到承诺。且YouTube-dl只是最近发生的事,GitHub已因保密程序代码的问题饱受批评。

Resynth也提醒,这次事件不得不让人担心GitHub程序代码的安全性。因封闭应用程序执行的是“隐蔽式安全”(Security By Obscurity),即程序代码隐藏,目的是降低安全风险。如果GitHub真的公开程序代码,很可能会损害整体安全性。

发表评论