내부 위협: 개발자가 10년에 천만 개의 자격 증명과 암호를 유출했습니다.

내부 위협: 개발자가 10년에 천만 개의 자격 증명과 암호를 유출했습니다.

타임 스탬프 : 9 년 2023 월 2 일 오후 41:XNUMX

개발자가 암호 및 API 키와 같은 중요한 소프트웨어 비밀을 유출하는 비율은 절반으로 증가하여 GitHub 리포지토리에 대한 커밋 5.5개 중 1,000개에 도달했습니다.

비밀 관리 회사인 GitGuardian이 이번 주에 발표한 보고서에 따른 것입니다. 이 비율은 작아 보이지만 전체적으로 회사는 공개 저장소로 유출된 비밀 사례를 최소 10만 건 이상 감지했으며, 이는 총 3만 개 이상의 고유한 비밀을 설명한다고 회사는 "2022 State of Secrets Sprawl" 보고서에서 밝혔습니다. 

일반 암호가 비밀의 대부분(56%)을 차지했지만 38분의 XNUMX 이상(XNUMX%)은 API 키, 난수 생성기 시드 및 기타 민감한 문자열을 포함하는 높은 엔트로피 비밀과 관련되었습니다.

더 많은 회사가 애플리케이션 인프라와 운영을 클라우드로 이동함에 따라 API 키, 자격 증명 및 기타 소프트웨어 비밀이 비즈니스 보안에 매우 중요해졌습니다. 이러한 비밀이 유출되면 그 결과는 파괴적이거나 최소한 비용이 많이 들 수 있습니다.

GitGuardian의 보안 및 개발자 지지자인 Mackenzie Jackson은 "비밀은 모든 비즈니스 또는 조직의 핵심입니다. 모든 시스템과 인프라에 대한 액세스 권한을 부여할 수 있습니다."라고 말합니다. "위험은 완전한 시스템 탈취에서 작은 데이터 노출 또는 기타 다양한 것에 이르기까지 무엇이든 될 수 있습니다."

가장 민감한 파일 유형 차트. 환경 파일(env)에는 일반적으로 가장 민감한 데이터가 포함됩니다. 출처: GitGuardian

환경 파일(env)에는 일반적으로 가장 민감한 데이터가 포함됩니다. 출처: GitGuardian

"코드 공유 플랫폼과 같은 공공 공간뿐만 아니라 특히 개인 저장소 또는 기업 IT 자산과 같은 폐쇄된 공간에 이러한 키가 매년 수백만 개 축적됩니다." GitGuardian "2023 State of Secrets Sprawl" 보고서에서 밝혔습니다..

그리고 그러한 사적인 공간도 취약할 수 있습니다. 예를 들어, XNUMX월에 협업 및 메시징 플랫폼 슬랙(Slack)은 사용자들에게 "제한된 수의 슬랙 직원 토큰"이 사용되었다고 경고했습니다. 위협 행위자에 의해 도난, 그런 다음 개인 코드 저장소를 다운로드했습니다. 지난 XNUMX월 Salesforce의 자회사인 클라우드 애플리케이션 플랫폼 제공업체인 Heroku는 공격자가 해킹 후 해시 및 솔트 처리된 비밀번호 데이터베이스를 훔쳤다는 사실을 인정했습니다. GitHub와 통합하는 데 사용되는 OAuth 토큰에 대한 액세스 권한 얻기.

인프라 — as … 이런!

기밀 유출이 증가하는 이유 중 하나는 다음과 같습니다. IaC(코드형 인프라) 훨씬 더 유명해졌습니다. IaC는 수동 프로세스가 아닌 코드를 통해 인프라를 관리하고 프로비저닝하는 것으로, 2022년에는 GitHub 리포지토리에 푸시된 IaC 관련 파일 및 아티팩트 수가 28% 증가했습니다. GitGuardian에 따르면 대부분(83%)의 파일이 Docker, Kubernetes 또는 Terraform용 구성 파일로 구성되어 있습니다.

IaC를 통해 개발자는 서버, 데이터베이스 및 소프트웨어 정의 네트워킹을 포함하여 애플리케이션에서 사용하는 인프라 구성을 지정할 수 있습니다. 이러한 모든 구성 요소를 제어하려면 종종 비밀이 필요하다고 Jackson은 말합니다.

"공격 표면은 계속 확장되고 있습니다."라고 그는 말합니다. "Infrastructure-as-code는 새로운 것이 되었고 인기가 폭발적으로 증가했으며 인프라에는 비밀이 필요하므로 Infrastructure-as-code [파일]에는 종종 비밀이 포함됩니다."

또한 중요한 애플리케이션 정보의 캐시로 일반적으로 사용되는 세 가지 파일 유형(.env, .key 및 .pem)이 가장 민감한 것으로 간주되며 파일당 가장 많은 비밀을 갖는 것으로 정의됩니다. 개발자는 거의 항상 이러한 파일을 공개 저장소에 게시하는 것을 피해야 한다고 Jackson은 말합니다.

"이러한 파일 중 하나가 Git 리포지토리에 있으면 보안에 허점이 있다는 것을 알 수 있습니다."라고 그는 말합니다. “파일에 비밀이 포함되어 있지 않더라도 절대 존재해서는 안 됩니다. 그들이 거기에 있지 않은지 확인하고 그들이 언제 있는지 알 수 있도록 경고하는 장치를 마련해야 합니다.”

이러한 이유로 기업은 잠재적인 위험한 파일을 차단할 수 있는 가시성과 능력을 확보하기 위해 시스템과 파일에서 비밀을 지속적으로 스캔해야 한다고 Jackson은 덧붙입니다.

"가시성을 확보하기 위해 모든 인프라를 스캔해야 합니다."라고 그는 말합니다. "그리고 나서 다음 단계에는 엔지니어와 개발자를 확인하는 도구를 구현하는 것이 포함됩니다. 비밀이 유출될 때 이를 감지합니다."

타임 스탬프 :

더보기 어두운 독서