Utilisateurs GitHub rançonnés à cause de mots de passe en texte clair

... un tiers a accédé à votre dépôt en utilisant le nom d'utilisateur et le mot de passe corrects de l'un des utilisateurs autorisés. Nous pensons que ces identifiants ont pu être compromis via un autre service, car d'autres plateformes d'hébergement Git subissent une attaque similaire.

En tant qu'utilisateur d'un service web, recevoir un e-mail concernant une éventuelle violation de vos données personnelles n'est jamais une expérience agréable. Imaginez maintenant que ces données soient un dépôt de code représentant le fruit de votre travail, voire les secrets industriels de vos logiciels. Au moins 392 (à ce jour) utilisateurs de GitHub, Bitbucket et GitLab ont reçu cette notification alarmante cette semaine. Pire encore, leur code a été téléchargé par les attaquants, supprimé du dépôt et pris en otage. Une fois les fichiers des utilisateurs effacés, il ne reste qu'un seul fichier texte contenant ce message :

Contrairement à la plupart des autres violations d'entreprises ayant fait la une (et même aux attaques précédentes sur GitHub), celle-ci n'a pas été causée par une faille de leur plateforme. Les informations de compte étaient stockées de manière non sécurisée en texte clair et ont probablement été divulguées par des services tiers de gestion de dépôts. Les développeurs stockaient activement des mots de passe importants de manière incorrecte et réutilisaient souvent les mêmes identifiants pour plusieurs comptes sensibles.

Il semblerait que les escrocs ne soient pas les plus brillants du monde de la programmation, car (au moment où nous écrivons ces lignes) aucun utilisateur n'a payé la rançon pour récupérer son code, et des personnes averties en matière de sécurité ont déjà trouvé des solutions pour permettre aux victimes de récupérer leur code supprimé.

Cela souligne néanmoins des problèmes que nous connaissons depuis longtemps dans le secteur de la sécurité : la plupart des développeurs ne sont tout simplement pas assez sensibilisés, et des données précieuses peuvent être menacées à tout moment... même par des pirates qui ne sont pas des génies.

Pourquoi notre gestion des mots de passe est-elle toujours aussi médiocre ?

Les humains sont faillibles et nous cherchons souvent à nous simplifier la vie. Il est certes beaucoup moins contraignant de réutiliser le même nom d'utilisateur et le même mot de passe, et se souvenir du nom de son premier chien est bien plus facile que de taper « Z7b3#!q0HwXxv29! » juste pour accéder à ses e-mails. Cependant, avec la multiplication des cyberattaques à grande échelle, les développeurs devraient être plus vigilants.

Les conseils de GitHub sur le sujet étaient clairs : cette attaque par rançon n'aurait pas eu lieu si l'authentification à deux facteurs et des gestionnaires de mots de passe sécurisés avaient été utilisés. C'est tout à fait vrai, mais comme je ne cesse de le répéter, il est clair que l'éducation doit aller plus loin. Tous les développeurs doivent comprendre, à un niveau fondamental, pourquoi certaines actions peuvent rendre leurs comptes vulnérables.

L'éducation : la solution miracle ?

Les développeurs avertis savent qu'une simple mauvaise configuration de sécurité peut avoir des conséquences dévastatrices. Dans le cas de cette attaque GitHub, il semble que des fichiers mal configurés aient permis aux attaquants d'injecter des scripts malveillants pour dérober les clés du royaume.

L'exposition de données sensibles est également une vulnérabilité critique à surmonter, occupant toujours la troisième place du Top 10 de l'OWASP. Stocker des mots de passe en texte clair prouve que beaucoup ne comprennent pas les dangers de cette pratique et la facilité avec laquelle les systèmes peuvent être compromis par des attaques par force brute.

Comprendre la cryptographie (et en particulier le stockage cryptographique) est essentiel pour gérer les mots de passe dans une base de code avec une sécurité renforcée. Le salage et le hachage systématiques des mots de passe, ainsi que l'imposition de leur unicité, rendront beaucoup plus difficile la survenue d'incidents de ce type.

Il est important de comprendre que nos attitudes collectives envers la sécurité doivent changer, en mettant davantage l'accent sur une formation adéquate des développeurs et en prenant les cybermenaces au sérieux. Nous devons faire de l'apprentissage de la sécurité une expérience positive et gratifiante, ce qui sera, selon moi, fondamental pour élever les standards de chaque développeur.

Vous voulez essayer de contrer les vulnérabilités dont vous avez lu le descriptif ici ? Vous pouvez relever des défis associés sur Secure Code Warrior dès maintenant :

• Mauvaises configurations de sécurité
• Stockage cryptographique non sécurisé
• Exposition de données sensibles