公開リポジトリにシークレットキーをアップロードすると起きること

 (threadreaderapp.com)
17 ポイント 投稿者 xguru 2020-11-09 | 3件のコメント | WhatsAppで共有

GitHub と GitLab で実際に実験してみた結果を時系列で整理

  1. AWS キーを GitHub にコミット

  2. 7分後、GitGuardian から漏えい警報

  3. 11分後、トークン損傷（compromised、漏えいしてもはや安全ではない状態）

  4. 2時間のあいだにドイツ／オランダ／イギリス／ウクライナなどから 5件のアクセス通知

  5. GitHub が脆弱な依存関係（Vulnerable Dependencies）アラートの警告メールを送ってくれる

  6. GitLab にコミット

  7. 62分後、最初で最後の一度だけトークンがフランスから使用される

  8. GitLab では何のセキュリティ警告も受け取らない（セキュリティ通知は Gold / Ultimate ユーザーにのみ提供）

教訓

  1. GitLab より GitHub をスキャンしているところの方が多い

  2. GitHub を使っているなら GitGuardian サービスを一度見てみること

  3. GitLab を使っているなら Gold / Ultimate へのアップグレードを検討

  4. 漏えいを事前に防ぐには Talisman（Pre-Commit Hook）を使うこと

  5. 漏えいしたかどうかを事後に確認するなら GitLeaks の導入を検討

関連記事

3件のコメント

 
galadbran 2020-11-09

恥ずかしい話ですが、私もキーをGitHubリポジトリに上げてしまったことがあり、そのときAWSから連絡が来ました。定められた期限内に対応しないとキーを無効化するので、早急にキーを変更し、該当アカウントのパスワードも変更するなどの対応を案内されました。
 
xguru 2020-11-09

それって、誰でも一度くらいは経験することじゃないですか…（笑）
 
xguru 2020-11-09

公開Repoにシークレットキーをアップロードすると起こること

GitGuardian : https://www.gitguardian.com/

Talisman : https://github.com/thoughtworks/talisman/

GitLeaks : https://github.com/zricethezav/gitleaks