Toyota: مفتاح وصول علني على GitHub خمس سنوات

قالت Toyota هذا الشهر إن جزءًا من الكود المصدري لتطبيق T-Connect كان في مستودع عام على GitHub منذ ديسمبر 2017، رفعه متعاقد من الباطن. وبداخله مفتاح وصول لخادم بيانات. وقد تكون نحو 300 ألف عنوان بريد ورقم عميل مكشوفة.

خمس سنوات، ولم ينتبه أحد حتى انتبه باحث.

درسان:

• الأسرار لا مكان لها في الكود، حتى في المستودعات الخاصة، لأن الخاص لا يبقى خاصًا. استخدم متغيرات البيئة أو مدير أسرار.
• عادات المتعاقدين معك هي مخاطرتك. مستودعاتهم وأجهزتهم وحساباتهم تلمس أنظمتك.

ماذا تفعل:

1. افحص مستودعاتك، بما فيها السجل، بحثًا عن مفاتيح. أدوات مجانية مثل Gitleaks تفعل ذلك في دقائق.
2. ابحث في GitHub عن أسماء نطاقاتك ومشاريعك وخوادمك الداخلية. قد تجد كودًا لم تكن تعرف أنه علني.
3. ضع قواعد الكود والأسرار في عقود المتعاقدين، وأعطهم مستودعات تملكها أنت.
4. غيّر المفاتيح بجدول ثابت، ليصبح للتسريب المنسي تاريخ انتهاء.