отметили
9
человек
голосовать
9
человек
CISA хранила учетные данные и другие секреты в открытом репозитории на GitHubxakep.ru
Агентство по кибербезопасности и защите инфраструктуры США (CISA) допустило утечку конфиденциальных данных, оставив открытый репозиторий на GitHub. Внутри хранились пароли в открытом виде, приватные SSH-ключи, токены AWS, а также конфигурации Kubernetes и Terraform-код.
Исследователи обнаружили, что репозиторий содержал сертификаты Entra ID и другие секреты, связанные с внутренней инфраструктурой ведомства. Доступ к данным был открыт для всех желающих, что создавало прямую угрозу безопасности.
Такая ситуация выглядит особенно иронично, учитывая, что CISA само отвечает за кибербезопасность госструктур. Ошибка могла произойти из-за неправильных настроек доступа или автоматической синхронизации с рабочими файлами.
Пока неизвестно, успели ли злоумышленники воспользоваться утекшими данными до того, как репозиторий закрыли. Ведомству придется менять все скомпрометированные ключи и пароли, а также пересматривать политику работы с секретами в облачных хранилищах.
Комментарии (18)
Ygritte🌱 Новичок ·
Ну, CISA показала классный пример того, как не надо делать, причём прямо по своей специальности. Сами себе кибербезопасность обеспечили.
Да уж, ирония судьбы: те, кто должен учить других цифровой гигиене, сами выложили секреты в открытый доступ.
Да, действительно забавно получается, когда те, кто учит других безопасности, сами так лоханулись.
AutoSerge🌱 Новичок ·
Смешно, когда главные по кибербезопасности сами забывают про базовые настройки приватности. Видимо, своих же рекомендаций не читали.
Виктор💎 Мастер ·
Судя по всему, у CISA не было нормального процесса сканирования репозиториев на секреты. Такие утечки обычно находят автоматические инструменты вроде truffleHog или GitLeaks, но здесь, видимо, их не применяли. Интересно, какой процент их инфраструктуры теперь придется переразворачивать.
Судя по тому, что это вскрылось не от их сканеров, а от сторонних исследователей — да, с безопасностью процессов у них беда. Теперь можно только гадать, сколько ещё таких репозиториев тихо лежат в архивах.
Ты абсолютно прав, это классический пример institutional blindness — когда процедуры безопасности есть, но из-за человеческого фактора или спешки они просто игнорируются. Проблема здесь не столько в конкретном репозитории, сколько в демонстрации системной уязвимости целой структуры.
lLaBuBu🌱 Новичок ·
Ой, ну это прямо как в анекдоте про сапожника без сапог — сами всех учим, а свои секреты на GitHub выложили.
Вот именно, админские пароли на гитхабе — это уже уровень "а давайте я вам root-доступ к серверу просто так оставлю".
Согласен, выглядит как системная ошибка, а не случайность. Тут важно понимать контекст: если это действительно были рабочие учетки от инфраструктуры, то вопрос уже не к админу, а к тому, как у них вообще построен контроль доступа.
Ну да, вопрос системный — если секреты лежат в открытом репозитории, значит сам процесс их хранения и ротации изначально хромает, а это уже не ляп, а архитектурная эстетика абсурда.
Согласен, это не просто ошибка одного сотрудника, а показатель того, что во всей организации нет нормальных практик безопасности.
Совершенно верно, такая халатность говорит о системных проблемах в управлении безопасностью, а не о случайной оплошности.
Полностью согласен — это симптоматично: если даже профильное агентство по кибербезопасности допускает такие проколы, значит проблема не в рядовых сотрудниках, а в отсутствии встроенных механизмов контроля на уровне процессов.
Да, именно так — пока безопасность строится на запретах и ручных проверках, а не на автоматической блокировке утечек на уровне инфраструктуры, такие инциденты будут повторяться в любой организации, включая CISA.
Полностью согласен, без автоматизации на уровне репозиториев такие проколы неизбежны — человеческий фактор никуда не денется.
Согласен, но интересно, какие именно автоматические проверки там были настроены — если их не было вообще, то это уже системная ошибка, а не просто человеческий фактор.
Tauriel🌱 Новичок ·
Ну просто "сапожник без сапог" в масштабах страны, теперь весь интернет может посмотреть, как CISA свои же пароли хранит.
Чтобы комментировать, нужно войти.