GitHub 被黑,不明人士冒充 CEO 泄露其机密源代码
YouTube-dl事件刚刚过去不久,GitHub又登上了Hacker News榜首。
原因是其源代码被全部泄露!
从开发者Resynth 发表的一篇博客中了解到,在一个向 GitHub 官方 DMCA 仓库提交的可疑 Commit 中,一名不明身份人员利用GitHub应用程序中的bug 假冒GitHub CEO 奈特·弗里德曼 (Nat Friedman)上传了机密源代码。
泄露文件已被全部删除
GitHub想必大家都非常熟悉,它是一个大型代码存储库,主要为企业和开发人员提供托管项目和服务代码。苹果,亚马逊,谷歌,Facebook以及其他许多大型科技公司都是其主要客户。同时,GitHub已托管超过1亿个存储库,为4000万开发人员提供资源支持。
因此,此泄露事件一出便迅速冲上了Hacker News热搜,不少开发者表示为GitHub平台的安全性感到担忧。
对此,GitHub CEO Friedman本人则第一时间在热帖下做出了解释。他表示,
GitHub没有被黑客入侵,被泄露的是部分GitHubEnterpriseServer源代码。二者虽然共享大量代码,但GitHub主要是由Ruby编写,还是有很大差异的。
另外,这一事件的起因是几个月前,开发人员无意间将企业服务器源代码的未脱敏/混淆的tarball交付给了一些客户造成的。我们正在全力修复平台Bug,防止未经授权的不明人士通过伪造身份随意盗用、修改他人项目。
最后,Friedman为了安抚用户甚至还吟了首勃朗宁的诗:一切都很好,情况也很正常,云雀展翅飞翔,蜗牛在荆棘上爬动,世上一切顺当!
不过,开发者们对此回应并不买账。从他们的吐槽来看,Github代码管理系统早已存在多项Bug,比如提交代码时,Git不会对用户身份进行核验。这一点会给源代码带来极大的安全风险,但GitHub平台对此从未重视过。
另外,有人表示正是利用这一缺陷,不明人士才得以冒充Friedman身份发布了机密代码。
源代码管理器Git存在Bug
Git,是Github用来托管源代码的分布式版本管理系统,简单来说,就是源代码管理器。
它的设计存在一种明显的缺陷,即没有为防止其他用户盗用提供太多的保护。具体来说,Git上传代码文件的过程,类似于发送电子邮件。用户可以在user.name和user.email字段中输入任何信息。这一过程中,如果两个字段之间不采用GPG密钥关联,系统就不会核查它的指定来源,那么信息造假会变得非常容易。
上述不明人士顺利提交成功,显然是Friedman没为相关字段建立GPG(General Planning Group)密钥。
那么,在绕过这层限制后,不明人士又是如何提交至存储库,同时又不损害实际存在账户的?据了解,将提交内容上传到Git存储库会得到一个散列,可用于查找树。GitHub是Web应用程序的一部分,提供了对浏览器中底层Git结构的访问权限,因此,它可以将Git存储库的所有分支存储在一个单独的底层存储库中,尽管通常不会在URL结构中显示这种方式。
为了假冒别人的账户,不明人士首先需要克隆一个DMCA储存库。在扩展到存储库之后,再提交泄漏源代码,并伪造成Friedman的姓名和电子邮件地址。这个过程Fork存储库可能会出现错误,换句话说,URL可能依然指向假冒者真正的用户名和账户。
但在底层Git上,父级和Fork都是同一个存储库的一部分,这将允许假冒者创建一个URL,该URL可以在主存储库中提交,而不是在Fork中。
因此,假冒者从https://github.com/github/dmca开始,将tree/$hash追加到末尾,其中$hash是攻击者自己的fork提交的散列值。
结果假冒者得以代替Friedman使用了一个URL在GitHub上提交了自己的机密代码。
值得一提的是,除了代码安全性的担忧之外,这件事也再度引起了开发者们对GitHub开源态度的关注。长久以来,GitHub一直因为未公开源代码而饱受诟病,而恰好前几日,GitHub再度因封杀视频神器YouTube-dl而陷入舆论风波。
据了解,此次泄露事件的发生,很可能是这位不知名开发者对封杀YouTube-dl一事的报复。
或许与下架YouTube-dl有关
上个月,在美国唱片业协会(RIAA)的要求下,GitHub 封禁了7.5万Star的热门开源项目 YouTube-dl。
当时RIAA其给出的理由是,YouTube-dl其违反了DMCA的反规避条款:
此源代码的明确目的是:1)规避YouTube等授权流媒体服务所使用的技术保护措施;2)未经授权复制和分发会员公司拥有的音乐视频和音频。3)除YouTube外,该源代码在GitHub上支持更多网站下载视频。
但GitHub将YouTube-dl下架,却激怒了开发者们,他们在GitHub上复制并上传了大量代码副本,以此对该下架行为表示抗议。目前在GitHub上搜索YouTube-dl,相关结果高达4108个。
后来,GitHub公司法律团队不得不发出最新警告,称如果继续发布代码副本,可能会对其进行封号处理。
请注意,在未遵循流程的情况下重新发布YouTube-dl代码副本是违反GitHub平台DMCA政策和服务条款的。如果您在明知违反服务条款的情况下,继续向该存储库提交或发布相关内容,我们会将其删除,并可能中止对您帐户的访问权限。
虽然造成此次泄露事件的不知名人士并未对此事公开表态,但有人猜测称可能是他对GitHub下架该项目的报复。
另外,在Friedman回应泄露事件的帖子下可以看到,不少网友对GitHub因DMCA协议而下架YouTube-dl表示不满。
还有一位用户表示,GitHub之所以这样做,很可能是因为微软是RIAA的成员。他说,DMCA所要求的下架不是让代码版权所有者本身下架,GitHub作为一家倡导开源的独立公司,它不需要遵守RIAA的非法请求。
可以看出,网友们的不满显示是因为封禁一事与GitHub最初的开源初衷背道而驰。
GitHub开源精神惹争议
2018年,微软以75亿美元的价格收购GitHub。新任 CEO Nat Friedman 曾表示:GitHub 将始终坚持开发者优先并独立运营。
Resynth在博客中也表示:微软一再强调致力于开源,这一点我们从很多商业广告中经常可以看到,它的目的是让微软出于开源发展的最前沿。
但现在来看,微软似乎并没有做到承诺的那样。而且YouTube-dl也只是最近发生的一例而已。事实上,GitHub因将其源代码保密的问题已经在业内广受批评。
另外,Resynth也提醒称,这次事件也不得不让人们担心 GitHub 源代码的安全性。因为闭源应用程序执行的是“隐蔽式安全 (SecurityByObscurity)”,即源代码是隐藏的,目的是降低安全风险。如果 GitHub 真的公开源代码,很可能会损害其整体的安全性。
推荐系统
微软Win11原版22H2下载_Win11GHOST 免 激活密钥 22H2正式版64位免费下载
语言:中文版系统大小:5.13GB系统类型:Win11微软Win11原版22H2下载_Win11GHOST 免 激活密钥 22H2正式版64位免费下载系统在家用办公上跑分表现都是非常优秀,完美的兼容各种硬件和软件,运行环境安全可靠稳定。Win11 64位 Office办公版(免费)优化 1、保留 Edge浏览器。 2、隐藏“操作中心”托盘图标。 3、保留常用组件(微软商店,计算器,图片查看器等)。 5、关闭天气资讯。
Win11 21H2 官方正式版下载_Win11 21H2最新系统免激活下载
语言:中文版系统大小:4.75GB系统类型:Win11Ghost Win11 21H2是微软在系统方面技术积累雄厚深耕多年,Ghost Win11 21H2系统在家用办公上跑分表现都是非常优秀,完美的兼容各种硬件和软件,运行环境安全可靠稳定。Ghost Win11 21H2是微软最新发布的KB5019961补丁升级而来的最新版的21H2系统,以Windows 11 21H2 22000 1219 专业版为基础进行优化,保持原汁原味,系统流畅稳定,保留常用组件
windows11中文版镜像 微软win11正式版简体中文GHOST ISO镜像64位系统下载
语言:中文版系统大小:5.31GB系统类型:Win11windows11中文版镜像 微软win11正式版简体中文GHOST ISO镜像64位系统下载,微软win11发布快大半年了,其中做了很多次补丁和修复一些BUG,比之前的版本有一些功能上的调整,目前已经升级到最新版本的镜像系统,并且优化了自动激活,永久使用。windows11中文版镜像国内镜像下载地址微软windows11正式版镜像 介绍:1、对函数算法进行了一定程度的简化和优化
微软windows11正式版GHOST ISO镜像 win11下载 国内最新版渠道下载
语言:中文版系统大小:5.31GB系统类型:Win11微软windows11正式版GHOST ISO镜像 win11下载 国内最新版渠道下载,微软2022年正式推出了win11系统,很多人迫不及待的要体验,本站提供了最新版的微软Windows11正式版系统下载,微软windows11正式版镜像 是一款功能超级强大的装机系统,是微软方面全新推出的装机系统,这款系统可以通过pe直接的完成安装,对此系统感兴趣,想要使用的用户们就快来下载
微软windows11系统下载 微软原版 Ghost win11 X64 正式版ISO镜像文件
语言:中文版系统大小:0MB系统类型:Win11微软Ghost win11 正式版镜像文件是一款由微软方面推出的优秀全新装机系统,这款系统的新功能非常多,用户们能够在这里体验到最富有人性化的设计等,且全新的柔软界面,看起来非常的舒服~微软Ghost win11 正式版镜像文件介绍:1、与各种硬件设备兼容。 更好地完成用户安装并有效地使用。2、稳定使用蓝屏,系统不再兼容,更能享受无缝的系统服务。3、为
雨林木风Windows11专业版 Ghost Win11官方正式版 (22H2) 系统下载
语言:中文版系统大小:4.75GB系统类型:雨林木风Windows11专业版 Ghost Win11官方正式版 (22H2) 系统下载在系统方面技术积累雄厚深耕多年,打造了国内重装系统行业的雨林木风品牌,其系统口碑得到许多人认可,积累了广大的用户群体,雨林木风是一款稳定流畅的系统,一直以来都以用户为中心,是由雨林木风团队推出的Windows11国内镜像版,基于国内用户的习惯,做了系统性能的优化,采用了新的系统
雨林木风win7旗舰版系统下载 win7 32位旗舰版 GHOST 免激活镜像ISO
语言:中文版系统大小:5.91GB系统类型:Win7雨林木风win7旗舰版系统下载 win7 32位旗舰版 GHOST 免激活镜像ISO在系统方面技术积累雄厚深耕多年,加固了系统安全策略,雨林木风win7旗舰版系统在家用办公上跑分表现都是非常优秀,完美的兼容各种硬件和软件,运行环境安全可靠稳定。win7 32位旗舰装机版 v2019 05能够帮助用户们进行系统的一键安装、快速装机等,系统中的内容全面,能够为广大用户
番茄花园Ghost Win7 x64 SP1稳定装机版2022年7月(64位) 高速下载
语言:中文版系统大小:3.91GB系统类型:Win7欢迎使用 番茄花园 Ghost Win7 x64 SP1 2022.07 极速装机版 专业装机版具有更安全、更稳定、更人性化等特点。集成最常用的装机软件,集成最全面的硬件驱动,精心挑选的系统维护工具,加上独有人性化的设计。是电脑城、个人、公司快速装机之首选!拥有此系统
相关文章
- Numara MRchat.pl MRABLoad2.pl远程命令执行漏洞
- 在WIN7中,为什么IE证书错误?
- NetBSD ipsec4_get_ulp()函数含绕过安全策略漏洞
- 介绍七种磁盘加密技术工具
- 两台电脑怎么共享打印机?两台电脑怎么共享打印机网络设置?
- 如何在PC桌面上添加便笺?
- 除了电脑杀毒软件能清理电脑垃圾,还有其他方式?
- 老板最关心这6个安全问题,别说你1个也不知道
- Remote Mouse App 6个0 day漏洞,1000万用户受影响
- 中了勒索病毒怎么办?四大招教你防御避免勒索病毒
- 手工注入拿到管理员密码登陆后台 图文
- Windows Vista中IE漏洞击穿系统分析
- AIR 025 | 360 首席科学家颜水成:有关机器视觉的六个洞见
- Windows10要成为“史上最安全的操作系统”,还需要你对它做了这几件事
- 下下下一代防火墙关键技术漫谈
- Gartner 2021亚太安全与风险峰会亮点汇总
- 为什么我们需要多个SAML IDP签名密钥?
- Oblog最新注入漏洞分析(已修补)
热门系统
- 1华硕笔记本&台式机专用系统 GhostWin7 32位正式旗舰版2018年8月(32位)ISO镜像下载
- 2深度技术 Windows 10 x86 企业版 电脑城装机版2018年10月(32位) ISO镜像免费下载
- 3电脑公司 装机专用系统Windows10 x86喜迎国庆 企业版2020年10月(32位) ISO镜像快速下载
- 4雨林木风 Ghost Win7 SP1 装机版 2020年4月(32位) 提供下载
- 5深度技术 Windows 10 x86 企业版 六一节 电脑城装机版 版本1903 2022年6月(32位) ISO镜像免费下载
- 6深度技术 Windows 10 x64 企业版 电脑城装机版2021年1月(64位) 高速下载
- 7新萝卜家园电脑城专用系统 Windows10 x64 企业版2019年10月(64位) ISO镜像免费下载
- 8新萝卜家园 GhostWin7 SP1 最新电脑城极速装机版2018年8月(32位)ISO镜像下载
- 9电脑公司Ghost Win8.1 x32 精选纯净版2022年5月(免激活) ISO镜像高速下载
- 10新萝卜家园Ghost Win8.1 X32 最新纯净版2018年05(自动激活) ISO镜像免费下载
热门文章
常用系统
- 1雨林木风Ghost Win7 x64 SP1 极速装机版2022年7月(64位) 高速下载
- 2番茄花园 Windows 10 官方企业版 2020年11月(64位) ISO高速下载
- 3新雨林木风 Windows10 x86 企业装机版2020年2月(32位) ISO镜像高速下载
- 4深度技术 Windows 10 x64 企业版 电脑城装机版2020年1月(64位) 高速下载
- 5雨林木风 Ghost Win7 SP1 装机版 2020年4月(32位) 提供下载
- 6深度技术 GHOSTXPSP3 电脑城极速装机版 2021年11月 ISO镜像高速下载
- 7新萝卜家园电脑城专用系统 Windows10 x86 企业版2021年10月(32位) ISO镜像高速下载
- 8新萝卜家园Ghost Win8.1 X64位 纯净版2021年11月(自动激活) ISO镜像高费下载
- 9笔记本&台式机专用系统 GHOSTXPSP3 2019年8月 海驱版 ISO镜像高速下载
- 10深度技术 Ghost Win7 x64 Sp1 电脑城纯净版2019年1月(64位) ISO镜像快速下载