GitHub-Nutzer werden mit Klartext-Schmerzen zu Lösegeld gezwungen
... ein Dritter hat auf dein Repository zugegriffen, indem er den richtigen Benutzernamen und das richtige Passwort für einen der Benutzer verwendet hat, die die Erlaubnis haben, auf dein Repository zuzugreifen. Wir glauben, dass diese Anmeldeinformationen möglicherweise über einen anderen Dienst durchgesickert sind, da andere Git-Hosting-Dienste einem ähnlichen Angriff ausgesetzt sind.
Als Nutzer eines webbasierten Dienstes ist es nie eine gute Erfahrung, eine solche E-Mail über einen möglichen Verstoß gegen Ihre persönlichen Daten zu erhalten. Stellen Sie sich nun vor, dass es sich bei den Daten um ein Code-Repository handelt, das Ihre harte Arbeit oder sogar die Geschäftsgeheimnisse Ihrer Software repräsentiert. Mindestens 392 (bisher) GitHub, Bitbucket und GitLab Benutzer haben diese Woche diese herzzerreißende Benachrichtigung erhalten, und was noch mehr ist - ihr Code wurde von den Angreifern heruntergeladen, aus dem Repository gelöscht und als Lösegeld erpresst. Sobald alle Dateien der betroffenen Benutzer verschwunden sind, bleibt nur noch eine Textdatei mit dieser Meldung übrig:
Im Gegensatz zu den meisten anderen berichtenswerten Unternehmensverstößen (und sogar frühere Angriffe auf GitHub) wurde dieser nicht durch einen Bug auf ihrer Plattform verursacht. Vielmehr wurden Kontoinformationen unsicher im Klartext gespeichert und sind wahrscheinlich aus Repository-Management-Diensten Dritter durchgesickert. Entwickler haben aktiv wichtige Passwörter falsch gespeichert und häufig dieselben Zugangsdaten für mehrere hochwertige Konten wiederverwendet.
Es scheint, dass die Betrüger nicht die besten und klügsten der Programmierwelt sind, da (zum Zeitpunkt des Schreibens) kein einziger Benutzer das Lösegeld gezahlt hat, um seinen Code wiederherzustellen, und einige clevere sicherheitsbewusste Leute haben bereits Problemumgehungen für betroffene Benutzer gefunden gelöschten Code wiederherstellen.
Dennoch werden dadurch Probleme aufgezeigt, die wir in der Sicherheitsbranche seit langem kennen: Die meisten Entwickler sind einfach nicht ausreichend sicherheitsbewusst, und wertvolle Daten können jederzeit gefährdet sein... selbst für diejenigen, die keine Hacker-Genies sind.
Warum ist unser Passwortmanagement immer noch so schlecht?
Menschen haben natürlich Fehler, und wir neigen dazu, uns das Leben leichter zu machen. Es ist sicherlich viel einfacher, denselben Benutzernamen und dasselbe Passwort immer wieder zu verwenden, und es ist viel einfacher, sich den Namen Ihres ersten Welpen zu merken, als „z7B3#! q0HWxXv29!“ einzugeben nur um auf Ihre E-Mail zuzugreifen. Da jedoch ständig so viele groß angelegte Cyberangriffe stattfinden, sollten Entwickler es inzwischen wirklich besser wissen.
GitHubs eigener Rat In dieser Angelegenheit war es einfach zu beurteilen, dass dieser Lösegeldangriff nicht stattgefunden hätte, wenn eine Zwei-Faktor-Authentifizierung eingeführt worden wäre und sichere Passwortmanager verwendet worden wären. Das ist absolut richtig, aber wie ich immer wieder sage, es ist klar, dass die Bildung noch weiter gehen muss. Alle Entwickler müssen — auf einer grundlegenden Ebene — verstehen, warum bestimmte Aktionen ihre Konten anfällig für Angriffe machen könnten.
Bildung: Die magische Pille?
Sicherheitserfahrene Programmierer wissen, dass ein einfacher Fehlkonfiguration der Sicherheit kann verheerende Folgen haben, und im Fall dieses GitHub-Angriffs scheinen falsch konfigurierte Dateien dazu beigetragen zu haben, dass die Angreifer erfolgreich bösartige Skimmer injizieren konnten, um die Schlüssel zu ihren Schlössern zu finden.
Offenlegung sensibler Daten ist ebenfalls eine kritische Sicherheitslücke, die es zu überwinden gilt und immer noch auf Platz drei der OWASP Top 10 steht. Das Speichern von Passwörtern im Klartext ist ein klarer Beweis dafür, dass viele nicht verstehen, welche Gefahren damit verbunden sind und wie leicht Systeme durch Brute-Force-Passwortangriffe durchbrochen werden können.
Das Verständnis der Kryptografie (und insbesondere des kryptografischen Speichers) ist eine wichtige Komponente für die Verwaltung von Passwörtern in einer Codebasis mit eiserner Sicherheit. Wenn alle gespeicherten Passwörter erfolgreich gesalzen und gehasht werden, um ihre Eindeutigkeit zu erzwingen, wird es weitaus schwieriger werden, Situationen wie diesen Lösegeld-Vorfall zu erzwingen.
Es ist wichtig zu verstehen, dass sich unsere kollektive Einstellung zur Sicherheit ändern muss, wobei der Schwerpunkt mehr auf einer angemessenen Ausbildung der Entwickler und der Ernsthaftigkeit von Cyberbedrohungen liegen muss. Wir müssen das Lernen über Sicherheit zu einer positiven und lohnenden Erfahrung machen, und ich denke, das wird für eine allgemeine Anhebung der Standards für alle Entwickler, die ihre Arbeit selbst beurteilen, von grundlegender Bedeutung sein.
Möchten Sie versuchen, die Sicherheitslücken zu beheben, über die Sie hier gelesen haben? Du kannst verwandte Herausforderungen auf spielen Sicherer Codekrieger gerade jetzt:
Der jüngste Angriff auf GitHub-Repositorys verdeutlicht ein bekanntes Problem in der Sicherheitsbranche: Die meisten Entwickler sind einfach nicht ausreichend sicherheitsbewusst, und wertvolle Daten können jederzeit gefährdet sein.
首席执行官、主席和联合创始人
Secure Code Warrior 您的Secure Code Warrior 帮助您在整个软件开发周期中保障代码安全，并建立将网络安全置于首位的企业文化。无论您是应用安全经理、开发人员、首席信息安全官，还是其他从事安全工作的人员，我们都能协助您的企业降低不安全代码带来的风险。
预约演示
首席执行官、主席和联合创始人
Pieter Danhieux是全球公认的安全专家，拥有超过12年的安全顾问经验，并在SANS担任首席讲师8年，教授如何针对和评估组织、系统和个人的安全弱点的攻击性技术。2016年，他被评为澳大利亚最酷的科技人士之一（Business Insider），被授予年度网络安全专业人士（AISA - 澳大利亚信息安全协会），并持有GSE、CISSP、GCIH、GCFA、GSEC、GPEN、GWAPT、GCIA认证。
... ein Dritter hat auf dein Repository zugegriffen, indem er den richtigen Benutzernamen und das richtige Passwort für einen der Benutzer verwendet hat, die die Erlaubnis haben, auf dein Repository zuzugreifen. Wir glauben, dass diese Anmeldeinformationen möglicherweise über einen anderen Dienst durchgesickert sind, da andere Git-Hosting-Dienste einem ähnlichen Angriff ausgesetzt sind.
Als Nutzer eines webbasierten Dienstes ist es nie eine gute Erfahrung, eine solche E-Mail über einen möglichen Verstoß gegen Ihre persönlichen Daten zu erhalten. Stellen Sie sich nun vor, dass es sich bei den Daten um ein Code-Repository handelt, das Ihre harte Arbeit oder sogar die Geschäftsgeheimnisse Ihrer Software repräsentiert. Mindestens 392 (bisher) GitHub, Bitbucket und GitLab Benutzer haben diese Woche diese herzzerreißende Benachrichtigung erhalten, und was noch mehr ist - ihr Code wurde von den Angreifern heruntergeladen, aus dem Repository gelöscht und als Lösegeld erpresst. Sobald alle Dateien der betroffenen Benutzer verschwunden sind, bleibt nur noch eine Textdatei mit dieser Meldung übrig:
Im Gegensatz zu den meisten anderen berichtenswerten Unternehmensverstößen (und sogar frühere Angriffe auf GitHub) wurde dieser nicht durch einen Bug auf ihrer Plattform verursacht. Vielmehr wurden Kontoinformationen unsicher im Klartext gespeichert und sind wahrscheinlich aus Repository-Management-Diensten Dritter durchgesickert. Entwickler haben aktiv wichtige Passwörter falsch gespeichert und häufig dieselben Zugangsdaten für mehrere hochwertige Konten wiederverwendet.
Es scheint, dass die Betrüger nicht die besten und klügsten der Programmierwelt sind, da (zum Zeitpunkt des Schreibens) kein einziger Benutzer das Lösegeld gezahlt hat, um seinen Code wiederherzustellen, und einige clevere sicherheitsbewusste Leute haben bereits Problemumgehungen für betroffene Benutzer gefunden gelöschten Code wiederherstellen.
Dennoch werden dadurch Probleme aufgezeigt, die wir in der Sicherheitsbranche seit langem kennen: Die meisten Entwickler sind einfach nicht ausreichend sicherheitsbewusst, und wertvolle Daten können jederzeit gefährdet sein... selbst für diejenigen, die keine Hacker-Genies sind.
Warum ist unser Passwortmanagement immer noch so schlecht?
Menschen haben natürlich Fehler, und wir neigen dazu, uns das Leben leichter zu machen. Es ist sicherlich viel einfacher, denselben Benutzernamen und dasselbe Passwort immer wieder zu verwenden, und es ist viel einfacher, sich den Namen Ihres ersten Welpen zu merken, als „z7B3#! q0HWxXv29!“ einzugeben nur um auf Ihre E-Mail zuzugreifen. Da jedoch ständig so viele groß angelegte Cyberangriffe stattfinden, sollten Entwickler es inzwischen wirklich besser wissen.
GitHubs eigener Rat In dieser Angelegenheit war es einfach zu beurteilen, dass dieser Lösegeldangriff nicht stattgefunden hätte, wenn eine Zwei-Faktor-Authentifizierung eingeführt worden wäre und sichere Passwortmanager verwendet worden wären. Das ist absolut richtig, aber wie ich immer wieder sage, es ist klar, dass die Bildung noch weiter gehen muss. Alle Entwickler müssen — auf einer grundlegenden Ebene — verstehen, warum bestimmte Aktionen ihre Konten anfällig für Angriffe machen könnten.
Bildung: Die magische Pille?
Sicherheitserfahrene Programmierer wissen, dass ein einfacher Fehlkonfiguration der Sicherheit kann verheerende Folgen haben, und im Fall dieses GitHub-Angriffs scheinen falsch konfigurierte Dateien dazu beigetragen zu haben, dass die Angreifer erfolgreich bösartige Skimmer injizieren konnten, um die Schlüssel zu ihren Schlössern zu finden.
Offenlegung sensibler Daten ist ebenfalls eine kritische Sicherheitslücke, die es zu überwinden gilt und immer noch auf Platz drei der OWASP Top 10 steht. Das Speichern von Passwörtern im Klartext ist ein klarer Beweis dafür, dass viele nicht verstehen, welche Gefahren damit verbunden sind und wie leicht Systeme durch Brute-Force-Passwortangriffe durchbrochen werden können.
Das Verständnis der Kryptografie (und insbesondere des kryptografischen Speichers) ist eine wichtige Komponente für die Verwaltung von Passwörtern in einer Codebasis mit eiserner Sicherheit. Wenn alle gespeicherten Passwörter erfolgreich gesalzen und gehasht werden, um ihre Eindeutigkeit zu erzwingen, wird es weitaus schwieriger werden, Situationen wie diesen Lösegeld-Vorfall zu erzwingen.
Es ist wichtig zu verstehen, dass sich unsere kollektive Einstellung zur Sicherheit ändern muss, wobei der Schwerpunkt mehr auf einer angemessenen Ausbildung der Entwickler und der Ernsthaftigkeit von Cyberbedrohungen liegen muss. Wir müssen das Lernen über Sicherheit zu einer positiven und lohnenden Erfahrung machen, und ich denke, das wird für eine allgemeine Anhebung der Standards für alle Entwickler, die ihre Arbeit selbst beurteilen, von grundlegender Bedeutung sein.
Möchten Sie versuchen, die Sicherheitslücken zu beheben, über die Sie hier gelesen haben? Du kannst verwandte Herausforderungen auf spielen Sicherer Codekrieger gerade jetzt:
... ein Dritter hat auf dein Repository zugegriffen, indem er den richtigen Benutzernamen und das richtige Passwort für einen der Benutzer verwendet hat, die die Erlaubnis haben, auf dein Repository zuzugreifen. Wir glauben, dass diese Anmeldeinformationen möglicherweise über einen anderen Dienst durchgesickert sind, da andere Git-Hosting-Dienste einem ähnlichen Angriff ausgesetzt sind.
Als Nutzer eines webbasierten Dienstes ist es nie eine gute Erfahrung, eine solche E-Mail über einen möglichen Verstoß gegen Ihre persönlichen Daten zu erhalten. Stellen Sie sich nun vor, dass es sich bei den Daten um ein Code-Repository handelt, das Ihre harte Arbeit oder sogar die Geschäftsgeheimnisse Ihrer Software repräsentiert. Mindestens 392 (bisher) GitHub, Bitbucket und GitLab Benutzer haben diese Woche diese herzzerreißende Benachrichtigung erhalten, und was noch mehr ist - ihr Code wurde von den Angreifern heruntergeladen, aus dem Repository gelöscht und als Lösegeld erpresst. Sobald alle Dateien der betroffenen Benutzer verschwunden sind, bleibt nur noch eine Textdatei mit dieser Meldung übrig:
Im Gegensatz zu den meisten anderen berichtenswerten Unternehmensverstößen (und sogar frühere Angriffe auf GitHub) wurde dieser nicht durch einen Bug auf ihrer Plattform verursacht. Vielmehr wurden Kontoinformationen unsicher im Klartext gespeichert und sind wahrscheinlich aus Repository-Management-Diensten Dritter durchgesickert. Entwickler haben aktiv wichtige Passwörter falsch gespeichert und häufig dieselben Zugangsdaten für mehrere hochwertige Konten wiederverwendet.
Es scheint, dass die Betrüger nicht die besten und klügsten der Programmierwelt sind, da (zum Zeitpunkt des Schreibens) kein einziger Benutzer das Lösegeld gezahlt hat, um seinen Code wiederherzustellen, und einige clevere sicherheitsbewusste Leute haben bereits Problemumgehungen für betroffene Benutzer gefunden gelöschten Code wiederherstellen.
Dennoch werden dadurch Probleme aufgezeigt, die wir in der Sicherheitsbranche seit langem kennen: Die meisten Entwickler sind einfach nicht ausreichend sicherheitsbewusst, und wertvolle Daten können jederzeit gefährdet sein... selbst für diejenigen, die keine Hacker-Genies sind.
Warum ist unser Passwortmanagement immer noch so schlecht?
Menschen haben natürlich Fehler, und wir neigen dazu, uns das Leben leichter zu machen. Es ist sicherlich viel einfacher, denselben Benutzernamen und dasselbe Passwort immer wieder zu verwenden, und es ist viel einfacher, sich den Namen Ihres ersten Welpen zu merken, als „z7B3#! q0HWxXv29!“ einzugeben nur um auf Ihre E-Mail zuzugreifen. Da jedoch ständig so viele groß angelegte Cyberangriffe stattfinden, sollten Entwickler es inzwischen wirklich besser wissen.
GitHubs eigener Rat In dieser Angelegenheit war es einfach zu beurteilen, dass dieser Lösegeldangriff nicht stattgefunden hätte, wenn eine Zwei-Faktor-Authentifizierung eingeführt worden wäre und sichere Passwortmanager verwendet worden wären. Das ist absolut richtig, aber wie ich immer wieder sage, es ist klar, dass die Bildung noch weiter gehen muss. Alle Entwickler müssen — auf einer grundlegenden Ebene — verstehen, warum bestimmte Aktionen ihre Konten anfällig für Angriffe machen könnten.
Bildung: Die magische Pille?
Sicherheitserfahrene Programmierer wissen, dass ein einfacher Fehlkonfiguration der Sicherheit kann verheerende Folgen haben, und im Fall dieses GitHub-Angriffs scheinen falsch konfigurierte Dateien dazu beigetragen zu haben, dass die Angreifer erfolgreich bösartige Skimmer injizieren konnten, um die Schlüssel zu ihren Schlössern zu finden.
Offenlegung sensibler Daten ist ebenfalls eine kritische Sicherheitslücke, die es zu überwinden gilt und immer noch auf Platz drei der OWASP Top 10 steht. Das Speichern von Passwörtern im Klartext ist ein klarer Beweis dafür, dass viele nicht verstehen, welche Gefahren damit verbunden sind und wie leicht Systeme durch Brute-Force-Passwortangriffe durchbrochen werden können.
Das Verständnis der Kryptografie (und insbesondere des kryptografischen Speichers) ist eine wichtige Komponente für die Verwaltung von Passwörtern in einer Codebasis mit eiserner Sicherheit. Wenn alle gespeicherten Passwörter erfolgreich gesalzen und gehasht werden, um ihre Eindeutigkeit zu erzwingen, wird es weitaus schwieriger werden, Situationen wie diesen Lösegeld-Vorfall zu erzwingen.
Es ist wichtig zu verstehen, dass sich unsere kollektive Einstellung zur Sicherheit ändern muss, wobei der Schwerpunkt mehr auf einer angemessenen Ausbildung der Entwickler und der Ernsthaftigkeit von Cyberbedrohungen liegen muss. Wir müssen das Lernen über Sicherheit zu einer positiven und lohnenden Erfahrung machen, und ich denke, das wird für eine allgemeine Anhebung der Standards für alle Entwickler, die ihre Arbeit selbst beurteilen, von grundlegender Bedeutung sein.
Möchten Sie versuchen, die Sicherheitslücken zu beheben, über die Sie hier gelesen haben? Du kannst verwandte Herausforderungen auf spielen Sicherer Codekrieger gerade jetzt:
请点击下方链接下载该资源的PDF文件。
Secure Code Warrior 您的Secure Code Warrior 帮助您在整个软件开发周期中保障代码安全，并建立将网络安全置于首位的企业文化。无论您是应用安全经理、开发人员、首席信息安全官，还是其他从事安全工作的人员，我们都能协助您的企业降低不安全代码带来的风险。
查看报告预约演示
首席执行官、主席和联合创始人
Pieter Danhieux是全球公认的安全专家，拥有超过12年的安全顾问经验，并在SANS担任首席讲师8年，教授如何针对和评估组织、系统和个人的安全弱点的攻击性技术。2016年，他被评为澳大利亚最酷的科技人士之一（Business Insider），被授予年度网络安全专业人士（AISA - 澳大利亚信息安全协会），并持有GSE、CISSP、GCIH、GCFA、GSEC、GPEN、GWAPT、GCIA认证。
... ein Dritter hat auf dein Repository zugegriffen, indem er den richtigen Benutzernamen und das richtige Passwort für einen der Benutzer verwendet hat, die die Erlaubnis haben, auf dein Repository zuzugreifen. Wir glauben, dass diese Anmeldeinformationen möglicherweise über einen anderen Dienst durchgesickert sind, da andere Git-Hosting-Dienste einem ähnlichen Angriff ausgesetzt sind.
Als Nutzer eines webbasierten Dienstes ist es nie eine gute Erfahrung, eine solche E-Mail über einen möglichen Verstoß gegen Ihre persönlichen Daten zu erhalten. Stellen Sie sich nun vor, dass es sich bei den Daten um ein Code-Repository handelt, das Ihre harte Arbeit oder sogar die Geschäftsgeheimnisse Ihrer Software repräsentiert. Mindestens 392 (bisher) GitHub, Bitbucket und GitLab Benutzer haben diese Woche diese herzzerreißende Benachrichtigung erhalten, und was noch mehr ist - ihr Code wurde von den Angreifern heruntergeladen, aus dem Repository gelöscht und als Lösegeld erpresst. Sobald alle Dateien der betroffenen Benutzer verschwunden sind, bleibt nur noch eine Textdatei mit dieser Meldung übrig:
Im Gegensatz zu den meisten anderen berichtenswerten Unternehmensverstößen (und sogar frühere Angriffe auf GitHub) wurde dieser nicht durch einen Bug auf ihrer Plattform verursacht. Vielmehr wurden Kontoinformationen unsicher im Klartext gespeichert und sind wahrscheinlich aus Repository-Management-Diensten Dritter durchgesickert. Entwickler haben aktiv wichtige Passwörter falsch gespeichert und häufig dieselben Zugangsdaten für mehrere hochwertige Konten wiederverwendet.
Es scheint, dass die Betrüger nicht die besten und klügsten der Programmierwelt sind, da (zum Zeitpunkt des Schreibens) kein einziger Benutzer das Lösegeld gezahlt hat, um seinen Code wiederherzustellen, und einige clevere sicherheitsbewusste Leute haben bereits Problemumgehungen für betroffene Benutzer gefunden gelöschten Code wiederherstellen.
Dennoch werden dadurch Probleme aufgezeigt, die wir in der Sicherheitsbranche seit langem kennen: Die meisten Entwickler sind einfach nicht ausreichend sicherheitsbewusst, und wertvolle Daten können jederzeit gefährdet sein... selbst für diejenigen, die keine Hacker-Genies sind.
Warum ist unser Passwortmanagement immer noch so schlecht?
Menschen haben natürlich Fehler, und wir neigen dazu, uns das Leben leichter zu machen. Es ist sicherlich viel einfacher, denselben Benutzernamen und dasselbe Passwort immer wieder zu verwenden, und es ist viel einfacher, sich den Namen Ihres ersten Welpen zu merken, als „z7B3#! q0HWxXv29!“ einzugeben nur um auf Ihre E-Mail zuzugreifen. Da jedoch ständig so viele groß angelegte Cyberangriffe stattfinden, sollten Entwickler es inzwischen wirklich besser wissen.
GitHubs eigener Rat In dieser Angelegenheit war es einfach zu beurteilen, dass dieser Lösegeldangriff nicht stattgefunden hätte, wenn eine Zwei-Faktor-Authentifizierung eingeführt worden wäre und sichere Passwortmanager verwendet worden wären. Das ist absolut richtig, aber wie ich immer wieder sage, es ist klar, dass die Bildung noch weiter gehen muss. Alle Entwickler müssen — auf einer grundlegenden Ebene — verstehen, warum bestimmte Aktionen ihre Konten anfällig für Angriffe machen könnten.
Bildung: Die magische Pille?
Sicherheitserfahrene Programmierer wissen, dass ein einfacher Fehlkonfiguration der Sicherheit kann verheerende Folgen haben, und im Fall dieses GitHub-Angriffs scheinen falsch konfigurierte Dateien dazu beigetragen zu haben, dass die Angreifer erfolgreich bösartige Skimmer injizieren konnten, um die Schlüssel zu ihren Schlössern zu finden.
Offenlegung sensibler Daten ist ebenfalls eine kritische Sicherheitslücke, die es zu überwinden gilt und immer noch auf Platz drei der OWASP Top 10 steht. Das Speichern von Passwörtern im Klartext ist ein klarer Beweis dafür, dass viele nicht verstehen, welche Gefahren damit verbunden sind und wie leicht Systeme durch Brute-Force-Passwortangriffe durchbrochen werden können.
Das Verständnis der Kryptografie (und insbesondere des kryptografischen Speichers) ist eine wichtige Komponente für die Verwaltung von Passwörtern in einer Codebasis mit eiserner Sicherheit. Wenn alle gespeicherten Passwörter erfolgreich gesalzen und gehasht werden, um ihre Eindeutigkeit zu erzwingen, wird es weitaus schwieriger werden, Situationen wie diesen Lösegeld-Vorfall zu erzwingen.
Es ist wichtig zu verstehen, dass sich unsere kollektive Einstellung zur Sicherheit ändern muss, wobei der Schwerpunkt mehr auf einer angemessenen Ausbildung der Entwickler und der Ernsthaftigkeit von Cyberbedrohungen liegen muss. Wir müssen das Lernen über Sicherheit zu einer positiven und lohnenden Erfahrung machen, und ich denke, das wird für eine allgemeine Anhebung der Standards für alle Entwickler, die ihre Arbeit selbst beurteilen, von grundlegender Bedeutung sein.
Möchten Sie versuchen, die Sicherheitslücken zu beheben, über die Sie hier gelesen haben? Du kannst verwandte Herausforderungen auf spielen Sicherer Codekrieger gerade jetzt:
%20(1).avif)
.avif)
