GitHub-Nutzer durch Klartext-Passwörter erpresst

... ein Dritter hat auf Ihr Repository zugegriffen, indem er den korrekten Benutzernamen und das Passwort eines der Benutzer verwendet hat, die Zugriff auf Ihr Repository haben. Wir gehen davon aus, dass diese Anmeldedaten über einen anderen Dienst geleakt wurden, da auch andere Git-Hosting-Dienste von einem ähnlichen Angriff betroffen sind.

Als Nutzer eines webbasierten Dienstes ist es nie ein schönes Erlebnis, eine E-Mail über eine mögliche Verletzung der eigenen persönlichen Daten zu erhalten. Stellen Sie sich nun vor, bei diesen Daten handelt es sich um ein Code-Repository, das Ihre harte Arbeit oder sogar Geschäftsgeheimnisse Ihrer Software enthält. Mindestens 392 (bisher) GitHub-, Bitbucket- und GitLab-Nutzer haben diese erschreckende Benachrichtigung diese Woche erhalten. Und mehr noch: Ihr Code wurde von den Angreifern heruntergeladen, aus dem Repository gelöscht und als Lösegeldforderung festgehalten. Sobald die Dateien der betroffenen Nutzer verschwunden sind, bleibt nur eine Textdatei mit dieser Nachricht zurück:

Im Gegensatz zu den meisten anderen berichtenswerten Unternehmenslecks (und sogar früheren Angriffen auf GitHub) wurde dieser nicht durch einen Fehler auf deren Plattform verursacht. Vielmehr wurden Kontoinformationen unsicher im Klartext gespeichert und wahrscheinlich von Repository-Management-Diensten Dritter abgegriffen. Entwickler speicherten wichtige Passwörter aktiv falsch und verwendeten häufig dieselben Anmeldedaten für mehrere hochwertige Konten.

Es scheint, als wären die Betrüger nicht die Hellsten in der Programmierwelt, denn (zum Zeitpunkt des Schreibens) hat kein einziger Nutzer das Lösegeld gezahlt, um seinen Code zurückzuerhalten, und einige kluge, sicherheitsbewusste Leute haben bereits Workarounds gefunden, mit denen betroffene Nutzer gelöschten Code wiederherstellen können.

Dennoch verdeutlicht dies Probleme, die wir in der Sicherheits branche schon lange kennen: Die meisten Entwickler sind einfach nicht ausreichend sicherheitsbewusst, und wertvolle Daten könnten jederzeit gefährdet sein... selbst durch Leute, die keine Hacker-Genies sind.

Warum ist unser Passwortmanagement immer noch so schlecht?

Menschen sind natürlich fehlerhaft und wir neigen dazu, uns das Leben einfacher machen zu wollen. Es ist sicherlich weniger mühsam, immer wieder denselben Benutzernamen und dasselbe Passwort zu verwenden, und sich den Namen des ersten Welpen zu merken ist weitaus einfacher, als „Z7b3#!q0HwXxv29!“ einzutippen, nur um auf seine E-Mails zuzugreifen. Angesichts der vielen groß angelegten Cyberangriffe, die ständig stattfinden, sollten Entwickler es jedoch mittlerweile besser wissen.

GitHubs eigener Rat zu diesem Thema war eindeutig: Dieser Ransomware-Angriff hätte nicht stattgefunden, wenn eine Zwei-Faktor-Authentifizierung eingerichtet und sichere Passwort-Manager verwendet worden wären. Das ist absolut richtig, aber wie ich immer wieder sage: Es ist klar, dass die Aufklärung weiter gehen muss. Alle Entwickler müssen grundlegend verstehen, warum bestimmte Handlungen ihre Konten anfällig für Angriffe machen können.

Aufklärung: Die Wunderpille?

Sicherheitsbewusste Programmierer wissen, dass eine einfache Sicherheitsfehlkonfiguration verheerende Folgen haben kann. Im Fall dieses GitHub-Angriffs scheinen falsch konfigurierte Dateien entscheidend dazu beigetragen zu haben, dass die Angreifer erfolgreich bösartige Skimmer einschleusen konnten, um die Schlüssel zu ihren Schlössern zu finden.

Die Offenlegung sensibler Daten ist ebenfalls eine kritische Schwachstelle, die nach wie vor auf Platz drei der OWASP Top 10 steht. Das Speichern von Passwörtern im Klartext ist ein klarer Beweis dafür, dass viele die Gefahren nicht verstehen und nicht wissen, wie leicht Systeme durch Brute-Force-Passwortangriffe kompromittiert werden können.

Das Verständnis von Kryptografie (insbesondere der kryptografischen Speicherung) ist ein wesentlicher Bestandteil der Passwortverwaltung in einer Codebasis mit robuster Sicherheit. Das erfolgreiche Salting und Hashing gespeicherter Passwörter sowie die Erzwingung ihrer Einzigartigkeit machen es weitaus schwieriger, dass Situationen wie dieser Lösegeldfall eintreten.

Es ist wichtig zu verstehen, dass sich unsere kollektive Einstellung zur Sicherheit ändern muss, mit mehr Nachdruck auf angemessener Ausbildung für Entwickler und einem ernsthaften Umgang mit Cyber-Risiken. Wir müssen das Erlernen von Sicherheit zu einer positiven und lohnenden Erfahrung machen, was meiner Meinung nach grundlegend für eine allgemeine Anhebung der Standards für jeden Entwickler sein wird, der seine Arbeit selbst bewertet.

Möchten Sie versuchen, die hier beschriebenen Schwachstellen zu besiegen? Sie können entsprechende Herausforderungen jetzt auf Secure Code Warrior spielen:

• Sicherheitsfehlkonfigurationen
• Unsichere kryptografische Speicherung
• Offenlegung sensibler Daten