Die Gefahr von Datenlecks auf Websites wird oft unterschätzt. Eine Untersuchung von Truffle Security hat ergeben, dass weltweit 4.500 der am häufigsten besuchten Websites ihr Git-Verzeichnis öffentlich zugänglich gemacht haben. In diesem Verzeichnis befindet sich oft der gesamte private Quellcode einer Website, was Angreifern ermöglicht, Angriffe auf die Webanwendung des Opfers zu starten oder den Code nach aktiven Anmeldedaten für Dienste wie AWS zu durchsuchen.
Häufig geleakte Geheimnisse: AWS und GitHub Schlüssel
AWS und GitHub Schlüssel sind die am häufigsten durchgesickerten Geheimnisse und machen 45% aller durchgesickerten Anmeldedaten aus. Dies liegt daran, dass diese Schlüssel oft in der Git-Konfigurationsdatei landen, wenn ein Remote-Repository geklont wird. Unternehmen sollten daher ihre AWS- und GitHub-Schlüssel sicher aufbewahren und regelmäßig ändern, um das Risiko eines Datenlecks zu minimieren. Zudem sollten sie sicherstellen, dass ihre Git-Verzeichnisse nicht öffentlich zugänglich sind, um zu verhindern, dass Angreifer Zugang zu diesen Schlüsseln erhalten.
Die Gefahr von GitHub Zugangsdaten mit Admin-Rechten
Die unsachgemäße Handhabung von GitHub-Zugangsdaten mit Admin-Rechten kann schwerwiegende Sicherheitsrisiken mit sich bringen. Die Untersuchung ergab, dass 67% der durchgesickerten GitHub-Anmeldedaten Admin-Zugriff hatten. Dies bedeutet, dass ein Angreifer im Falle eines Datenlecks beliebige Aktionen gegen alle Repositories des Opfers durchführen könnte, einschließlich der Implementierung von Malware im Code. Dies könnte zu erheblichen Betriebsstörungen und finanziellen Verlusten führen. Zudem könnten Angreifer Zugang zu sensiblen Informationen erhalten, die in den Repositories gespeichert sind, einschließlich personenbezogener Daten von Kunden oder Mitarbeitern.
Unternehmen sollten daher strenge Sicherheitsmaßnahmen ergreifen, um ihre GitHub-Zugangsdaten zu schützen. Dazu gehört die regelmäßige Änderung von Passwörtern, die Verwendung von Zwei-Faktor-Authentifizierung und die Beschränkung des Admin-Zugriffs auf eine minimale Anzahl von Benutzern. Zudem sollten Unternehmen regelmäßige Sicherheitsüberprüfungen durchführen, um sicherzustellen, dass keine Zugangsdaten durchgesickert sind.
Die Folgen eines geleakten SSL Zertifikatsschlüssels
Die Folgen eines durchgesickerten SSL-Zertifikatsschlüssels können verheerend sein. In der Untersuchung von Truffle Security wurde ein privater RSA-Schlüssel identifiziert, der dem TLS-Zertifikat einer Domain entsprach. Angreifer könnten diesen privaten Schlüssel nutzen, um eine Man-in-the-Middle-Attacke durchzuführen. Bei dieser Art von Angriff kann der Angreifer die Kommunikation zwischen zwei Parteien abfangen und kontrollieren, ohne dass diese davon Kenntnis haben. Dies ermöglicht es dem Angreifer, vertrauliche Informationen abzufangen, zu manipulieren oder sogar eigene Nachrichten einzufügen. Zudem könnten Angreifer den privaten Schlüssel nutzen, um sich als die betroffene Domain auszugeben und so Benutzer dazu zu verleiten, vertrauliche Informationen preiszugeben. Unternehmen sollten daher ihre SSL-Zertifikatsschlüssel sicher aufbewahren und regelmäßig ändern, um das Risiko eines Datenlecks zu minimieren.
Schwankende Exposition von Git Verzeichnissen in Organisationen
Die Exposition von Git-Verzeichnissen in Organisationen ist ein dynamisches Phänomen, das sich ständig ändert. In der Studie wurden in der ersten Runde 255 durchgesickerte Schlüssel gefunden, während es in der zweiten Runde nur 97 waren. Dies zeigt, dass einige Websites ihre .git-Verzeichnisse entfernt haben, während andere neue Schlüssel durchsickern ließen. Diese Schwankungen können auf verschiedene Faktoren zurückgeführt werden, wie z.B. Änderungen in der Sicherheitspolitik, technische Updates oder menschliche Fehler. Organisationen sollten daher regelmäßige Sicherheitsüberprüfungen durchführen, um sicherzustellen, dass keine sensiblen Daten durchgesickert sind. Zudem sollten sie sicherstellen, dass ihre Git-Verzeichnisse nicht öffentlich zugänglich sind, um zu verhindern, dass Angreifer Zugang zu diesen Schlüsseln erhalten.
Verantwortungsvolle Offenlegung von Datenlecks
Die verantwortungsvolle Offenlegung von Datenlecks ist ein entscheidender Aspekt im Umgang mit Sicherheitslücken. Nach der Identifizierung eines verifizierten, exponierten Geheimnisses versuchte das Forschungsteam, die betroffenen Website-Besitzer zu kontaktieren. Dieser Prozess war zeitaufwendig und umfasste die Suche nach gültigen E-Mail-Adressen in der Git-Historie, WHOIS-Abfragen, das Ausprobieren von rollenbasierten E-Mail-Adressen und das Verlassen auf Catch-All-E-Mail-Konfigurationen. Trotz dieser Bemühungen konnten nicht alle betroffenen Parteien erreicht werden.
Wie man Datenexposition in einem Git Verzeichnis verhindert
Die Verhinderung von Datenexposition in einem Git-Verzeichnis erfordert mehrere Schritte. Sensible Daten sollten nicht im Repository gespeichert werden, sondern in Umgebungsvariablen oder anderen sicheren Methoden.
Pre-Commit-Hooks können implementiert werden, um zu verhindern, dass sensible Daten in Git eingefügt werden. Das .git-Verzeichnis sollte von Produktionsservern entfernt und nicht zusammen mit einer Anwendung bereitgestellt werden. Die Verwendung von .gitignore kann dazu beitragen, sensible Dateien von der Verfolgung durch Git auszuschließen. Zugriffskontrollen auf dem Webserver können implementiert werden, um den Zugriff auf das .git-Verzeichnis zu beschränken. Repositories und Server sollten regelmäßig auf Schwachstellen gescannt werden, einschließlich der Präsenz eines .git-Verzeichnisses.
Diese Maßnahmen können dazu beitragen, die Exposition von Daten in einem Git-Verzeichnis zu verhindern und die Sicherheit von Webanwendungen zu erhöhen.
Abschließende Gedanken: Die Notwendigkeit weiterer Forschung und verantwortungsvoller Offenlegung
Die Online-Welt wird immer komplexer und die Gefahr von Datenlecks immer größer. Truffle Security hat mit ihrer Studie gezeigt, dass selbst die größten Websites nicht vor solchen Risiken gefeit sind.
Es wird deutlich, wie essentiell weiterführende Forschungen und eine verantwortungsvolle Offenlegung von Sicherheitslücken sind. Die Dringlichkeit regelmäßiger Sicherheitsaudits und vorbeugender Maßnahmen kann nicht genug betont werden.
