GitHub 用户因明文密码泄露遭勒索

……第三方使用了您存储库中某位授权用户的正确用户名和密码访问了您的存储库。我们认为这些凭据可能是通过其他服务泄露的，因为其他 Git 托管服务也正遭受类似的攻击。

作为网络服务的用户，收到关于个人数据可能泄露的邮件绝非愉快的体验。现在，试想一下，如果这些数据是代表您心血的代码存储库，甚至是您软件的商业机密，那会怎样？至少有 392（目前为止）GitHub、Bitbucket 和 GitLab 用户在本周收到了那条令人心惊胆战的通知，更糟糕的是，他们的代码已被攻击者下载、从存储库中删除并勒索赎金。受影响用户的文件全部消失后，只剩下一个包含此信息的文本文件：

与大多数其他值得关注的公司泄露事件（甚至包括之前针对 GitHub 的攻击）不同，这次攻击并非由平台漏洞引起。相反，账户信息以明文形式不安全地存储，并很可能从第三方存储库管理服务中泄露。开发人员一直在错误地存储重要密码，并且经常在多个高价值账户中重复使用相同的凭据。

看来这些诈骗者并非编程界的顶尖高手，因为（截至撰写本文时）还没有一个用户支付赎金来恢复代码，而且一些精通安全的人士已经找到了让受影响用户恢复已删除代码的变通方法。

尽管如此，这确实凸显了我们安全行业长期以来已知的问题：大多数开发人员的安全意识依然不足，宝贵的数据随时可能面临风险……即使攻击者并非黑客天才，也可能造成威胁。

为什么我们的密码管理依然如此糟糕？

人类当然是有缺陷的，我们往往倾向于让生活变得更简单。重复使用同一个用户名和密码确实省事得多，记住第一只宠物的名字也比输入“Z7b3#!q0HwXxv29!”来登录邮箱容易得多。然而，随着大规模网络攻击不断发生，开发人员现在真的应该吸取教训了。

GitHub 官方对此事的建议非常直接，他们认为如果启用了双重身份验证并使用了安全的密码管理器，这次勒索攻击就不会发生。这绝对是事实，但正如我一直强调的那样，显然教育必须进一步深入。所有开发人员都需要从根本上理解，为什么某些操作会导致他们的账户容易受到攻击。

教育：灵丹妙药？

精通安全的程序员明白，简单的安全配置错误可能会带来毁灭性的后果。在这次 GitHub 攻击事件中，配置错误的文件似乎在帮助攻击者成功植入恶意脚本以窃取访问权限方面起到了关键作用。

敏感数据泄露也是一个亟待克服的关键漏洞，它仍然位列 OWASP Top 10 的第三位。以明文形式存储密码清楚地表明，许多人并不了解这样做的危险性，也不了解系统通过暴力破解密码攻击被攻破是多么容易。

理解密码学（特别是加密存储）是使用稳固安全性管理代码库密码的重要组成部分。成功地对存储的密码进行加盐和哈希处理，并强制要求其唯一性，将使此类勒索事件更难发生。

重要的是要认识到，我们对安全的集体态度需要改变，应更加重视对开发人员的充分教育，并认真对待网络威胁风险。我们需要让学习安全知识成为一种积极且有益的体验，我认为这将是全面提升开发人员自我评估工作标准的基础。

想尝试攻克您在此处了解到的漏洞吗？您可以立即在 Secure Code Warrior 上挑战相关关卡：

• 安全配置错误
• 不安全的加密存储
• 敏感数据泄露