رموز OAuth المسروقة: راجع التطبيقات المتصلة بـGitHub

أعلنت GitHub الأسبوع الماضي أن مهاجمًا استخدم رموز OAuth مسروقة، صادرة لـHeroku وTravis CI، لتنزيل مستودعات خاصة من عشرات المؤسسات، بينها npm. GitHub نفسها لم تُخترق؛ المفاتيح جاءت من تطبيقات ربطها العملاء بها.

كل «الدخول عبر GitHub» أو «اربط مستودعك» يُنشئ رمزًا له وصول إلى كودك. وهذه الرموز تعيش على خوادم غيرك.

ماذا تفعل الآن:

1. راجع تطبيقات OAuth وGitHub Apps المصرّح لها في حسابك ومؤسستك، واحذف ما لا تستخدمه.
2. افحص الصلاحيات. هل تحتاج أداة النشر فعلًا الوصول إلى كل مستودع خاص؟
3. راجع سجل التدقيق في مؤسستك بحثًا عن استنساخ أو تنزيلات لا تستطيع تفسيرها.
4. غيّر الأسرار الموجودة في مستودعاتك. إذا نُسخ الكود الخاص، فالمفاتيح بداخله مكشوفة.
5. فعّل سياسات المؤسسة التي تشترط موافقة المسؤول على أي تطبيق خارجي جديد.

كودك خاص بقدر أقل التطبيقات حرصًا من بين التي ربطتها به.