機械革命蛟龍16 Pro只要5037元 京東11.11購3C數(shù)碼又便宜又好綠盟科技發(fā)布三季度報告,收入略增,虧損收窄,經(jīng)營性凈現(xiàn)金流同比翻倍對話高通孟樸:自研Oryon CPU背后,是移動計算邊界的再定義金磚大賽之元宇宙3D數(shù)字內(nèi)容設計創(chuàng)作賽發(fā)布3D協(xié)同設計實訓平臺,考察學生3D內(nèi)容在線編輯創(chuàng)作力福特汽車 2024 年第三季度營收 460 億美元2024年胡潤百富榜:張一鳴首次成為中國首富 雷軍排名上升15位消息稱臺積電擬收購更多群創(chuàng)工廠擴產(chǎn)先進封裝小米15手機亮銀版公布,今晚 7 點發(fā)布Omdia觀點:目錄管理對于電信運營商擴大市場至關重要消息稱蘋果M5芯片預計明年年底推出,采用臺積電3nm制程Apple發(fā)布搭載M4芯片新款iMac 京東10月30日開啟預售京東11.11先人一步上線《黑神話:悟空》聯(lián)名郵品珍藏 現(xiàn)在即可預約下單拉卡拉三季度營收14億,凈利同比降15%QuestMobile 2024年硬件終端智能發(fā)展洞察:AI時代應用端爆發(fā)大幕拉開預測:生成式AI將產(chǎn)生大量電子廢物同等優(yōu)惠外多送一年AppleCare+ 雙11買iPhone 16還是京東更劃算環(huán)球音樂與AI公司攜手打造 “有道德” 的AI 音樂生成模型KLayMM突破性開源項目:手機也能運行的輕量級數(shù)字人來了2024年中國IT用戶滿意度調(diào)研結果公布智源推出全能視覺生成模型 OmniGen 集多項能力于一體
  • 首頁 > 網(wǎng)絡安全頻道 > 攻擊防御

    二進制密鑰掃描實現(xiàn)預警守護,阻擊潛在供應鏈重大安全隱患

    2024年08月15日 10:42:59   來源:Citnews中文科技資訊

      作者:Yoav Landman,JFrog聯(lián)合創(chuàng)始人兼首席技術官、Shachar Menashe, JFrog安全研究高級總監(jiān)

      JFrog安全研究團隊近期發(fā)現(xiàn)并報告了一起嚴重的安全事件,一個具有管理員權限的訪問令牌在Docker Hub上托管的某個公共Docker容器中意外泄露,該令牌可訪問Python、PyPI及Python軟件基金會(PSF)的GitHub倉庫。

      作為一項針對線上社區(qū)的服務,JFrog安全研究團隊持續(xù)掃描Docker Hub、NPM和PyPI等公共倉庫,旨在識別惡意軟件包和泄露的密鑰。一旦發(fā)現(xiàn)潛在威脅,團隊會立即通知相關維護人員,確保漏洞在攻擊者對其進行利用之前便得到修復。盡管JFrog團隊以往已多次檢測到相似方式泄露密鑰的安全隱患,但由于此次事件潛在后果影響廣泛,因此尤為嚴重——假設攻擊者將惡意代碼注入PyPI軟件包,或者將所有Python包替換為惡意軟件包,這將可能影響到Python語言本身!

      JFrog安全研究團隊迅速鎖定泄露的密鑰,并即刻向PyPI安全團隊報告,PyPI安全團隊僅在短短17分鐘內(nèi)便撤銷了該令牌,有效遏制了潛在安全危機。

      如今,Python編程語言被廣泛應用于絕大多數(shù)的數(shù)字系統(tǒng)中,包括:

      l YouTube、Instagram、Facebook、Reddit、Pinterest以及其他各類社交媒體網(wǎng)站

      l 所有機器學習和人工智能程序

      l 金融支付系統(tǒng),如Venmo、Zelle以及摩根大通和高盛等銀行的內(nèi)部操作系統(tǒng)

      我們將深入剖析JFrog是如何發(fā)現(xiàn)并阻止一起可能危及整個Python基礎設施的GitHub個人訪問令牌(PAT)泄露事件,同時借此案例強調(diào)在密鑰檢測中“右移”策略的重要性,該策略保證了不僅在源代碼中查找密鑰,還將在二進制文件和生產(chǎn)制品中加強防范。

      我們發(fā)現(xiàn)了什么

      我們的密鑰掃描引擎在Docker Hub上的一個公共倉庫中檢測到了一個“傳統(tǒng)”的GitHub令牌。與更新的細粒度令牌不同,傳統(tǒng)GitHub令牌的風險在于,它們授予用戶訪問所有倉庫相似的權限。

      在本次的案例中,該事件主角擁有對Python核心基礎設施倉庫(包括PSF、PyPI、Python語言及CPython)的管理員權限。

    image.png

      可能引發(fā)的后果

      如果有他人發(fā)現(xiàn)了這一泄露的令牌,將造成后果極其嚴重的安全隱患。該令牌的持有者將擁有訪問所有Python、PyPI和Python軟件基金會存儲庫的管理員權限,并可能借此實施大規(guī)模的供應鏈攻擊。

      如果出現(xiàn)這一情況,可能會發(fā)生各種形式的供應鏈攻擊。其中一種可能的攻擊方式是,攻擊者將惡意代碼藏匿于CPython中,該組件包含Python語言的核心庫,由C語言編寫。鑒于Python的廣泛應用,惡意代碼一旦混入Python分發(fā)版,其潛在影響將波及全球數(shù)以千萬計的計算機。

    image.png

      另一種可能遭受攻擊的場景是,向PyPI的Warehouse代碼中滲透惡意代碼,該代碼用于管理PyPI包管理器。如果攻擊者通過插入代碼獲得通往PyPI存儲的后門的權限,他們將隨意操縱熱門PyPI包,并且在其中隱藏惡意代碼或用惡意代碼完全替換原有內(nèi)容。盡管這一攻擊方式并不十分高明,但其危害性不可小覷。

    1723689058902846.png

      為什么該令牌僅在二進制文件中找到?

      在Docker容器內(nèi)的一個編譯后的Python文件——__pycache__/build.cpython-311.pyc中發(fā)現(xiàn)了身份驗證令牌:

    image.png

      然而,在匹配的源代碼文件中,該令牌并未包含在相同功能的部分當中。

      這就意味著原作者:

      1. 曾經(jīng)短暫地將授權令牌添加到了他們的源代碼中,并運行了源代碼

      2. 這項被運行的源代碼(Python腳本) 是帶有授權令牌的 .pyc二進制文件

      3. 盡管原作者從源代碼中刪除了授權令牌,但沒有同步清理 .pyc

      4. 將修正版本的源代碼和未修正的 .pyc二進制文件都推送到了Docker鏡像中

      例如,以下是反編譯的build.cpython-311.pyc文件與Docker容器中實際源代碼的比較:

    image.png

      從二進制文件“build.cpython-311.pyc”中重構的源代碼

    image.png

      Docker容器中匹配文件的實際源代碼

      可以發(fā)現(xiàn),盡管從.pyc緩存文件中反編譯的代碼與原始代碼相似,但其含有了一個包含有效GitHub令牌的授權數(shù)據(jù)頭。

      僅在源代碼中掃描密鑰是不夠的

      此事件警醒我們,為了預防類似的安全隱患,雖然與基于文本的文件相比,在二進制文件中搜索泄露的機密信息更為困難,但是很多情況下關鍵數(shù)據(jù)只存在于二進制數(shù)據(jù)當中,因此對發(fā)布的Docker鏡像中的源代碼和二進制數(shù)據(jù)進行全面審核將成為最佳的解決方案。

    1723689096785332.png

      PyPI的快速響應

      在本次事件報告中,我們由衷感謝PyPI安全團隊的迅速響應。

      面對難以規(guī)避的泄露風險,企業(yè)和相關組織應以最快速度采取行動,評估并減輕潛在損害。

      在此次事件中,在發(fā)現(xiàn)令牌后,JFrog立即將這一情況通知了PyPI的安全團隊和令牌的所有者。PyPI的安全團隊迅速響應,僅在17分鐘后就做出回應,撤銷了這一具有安全隱患的令牌。與此同時,PyPI進行了全面的檢查,確認該令牌尚未涉及任何具有安全威脅的可疑活動。

      我們可以從密鑰檢測中汲取哪些經(jīng)驗?

      從此次事件中,我們汲取了寶貴經(jīng)驗:

      1. 在源代碼和文本文件中掃描密鑰已經(jīng)不足以排除安全隱患。現(xiàn)代集成開發(fā)環(huán)境(IDE)和開發(fā)工具雖然可以有效地在源代碼中檢測密鑰并防止其泄露,但它們的范圍僅限于代碼,卻往往忽略由構建和打包工具生成的二進制制品。我們在開源注冊表中遇到的大多數(shù)密鑰都位于環(huán)境、配置和二進制文件中。

      2. 用新的令牌替換老式的GitHub令牌以實現(xiàn)更好的可見性。最初,GitHub 使用的是十六進制編碼的 40 個字符的令牌字符串,與 SHA1 哈希字符串無異,大多數(shù)密鑰掃描工具都無法捕捉到這種字符串。2021年,GitHub改用了一種新的令牌格式,該更新并未強制要求所有用戶重新生成他們的令牌。新格式的令牌包含可識別的前綴 ghp_,同時還嵌入了校驗和,允許密鑰檢測工具能更輕松、更準確地識別它們。

      3. 您的令牌只能訪問使用它的應用程序所需的資源。將令牌權限設置為最大并非明智決定。兩年前,GitHub引入了新的細粒度令牌。與傳統(tǒng)令牌不同,它們允許用戶選擇個人訪問令牌可用的權限和倉庫,并將其范圍限制為相應任務所需的最小范圍。我們強烈建議使用此功能,從而最大程度避免類似于對整個基礎設施具有最終訪問權限的令牌在一個輔助項目或臨時的“hello-world”應用程序中被泄露的情況。

    image.png

      JFrog Secrets Detection – 二進制優(yōu)勢

      即使關鍵令牌被泄露在一個編譯后的Python二進制文件(.pyc)中,JFrog的密鑰檢測引擎依然能夠將其識別。我們能夠檢測到泄露的令牌主要得益于兩個重要原因:

      1. JFrog Secrets Detection在開發(fā)人員的IDE內(nèi)部實現(xiàn)左移運行,也可以在已部署的Docker容器內(nèi)部進行右移運行。

      2. JFrog Secrets Detection能夠實現(xiàn)在文本文件和二進制文件中搜索泄露的密鑰,實現(xiàn)全方位的保護。

      JFrog的檢測基于JFrog Xray針對配置文件、文本文件和二進制文件進行掃描,查找純文本憑據(jù)、私鑰、令牌和類似的密鑰信息。通過利用持續(xù)更新且擁有超過150種特定類型證書列表,以及專有的通用密鑰匹配器,JFrog將盡可能的在掃描過程中實現(xiàn)最佳的文件覆蓋范圍。

      ###

      關于JFrog

      JFrog Ltd.(納斯達克股票代碼:FROG)的使命是創(chuàng)造一個從開發(fā)人員到設備之間暢通無阻的軟件交付世界。秉承“流式軟件”的理念,JFrog軟件供應鏈平臺是統(tǒng)一的記錄系統(tǒng),幫助企業(yè)快速安全地構建、管理和分發(fā)軟件,確保軟件可用、可追溯和防篡改。集成的安全功能還有助于發(fā)現(xiàn)和抵御威脅和漏洞并加以補救。JFrog 的混合、通用、多云平臺可以作為跨多個主流云服務提供商的自托管和SaaS服務。全球數(shù)百萬用戶和7200多名客戶,包括大多數(shù)財富100強企業(yè),依靠JFrog解決方案安全地開展數(shù)字化轉型。一用便知!如欲了解更多信息,請訪問jfrogchina.com或者關注我們的微信官方賬號:JFrog捷蛙。

      文章內(nèi)容僅供閱讀,不構成投資建議,請謹慎對待。投資者據(jù)此操作,風險自擔。

    [No. H002]
    分享到微信

    即時

    新聞

    敢闖技術無人區(qū) TCL實業(yè)斬獲多項AWE 2024艾普蘭獎

    近日,中國家電及消費電子博覽會(AWE 2024)隆重開幕。全球領先的智能終端企業(yè)TCL實業(yè)攜多款創(chuàng)新技術和新品亮相,以敢為精神勇闖技術無人區(qū),斬獲四項AWE 2024艾普蘭大獎。

    企業(yè)IT

    重慶創(chuàng)新公積金應用,“區(qū)塊鏈+政務服務”顯成效

    “以前都要去窗口辦,一套流程下來都要半個月了,現(xiàn)在方便多了!”打開“重慶公積金”微信小程序,按照提示流程提交相關材料,僅幾秒鐘,重慶市民曾某的賬戶就打進了21600元。

    3C消費

    “純臻4K 視界煥新”——愛普生4K 3LCD 激光工程投影

    2024年3月12日,由愛普生舉辦的主題為“純臻4K 視界煥新”新品發(fā)布會在上海盛大舉行。

    研究

    2024全球開發(fā)者先鋒大會即將開幕

    由世界人工智能大會組委會、上海市經(jīng)信委、徐匯區(qū)政府、臨港新片區(qū)管委會共同指導,由上海市人工智能行業(yè)協(xié)會聯(lián)合上海人工智能實驗室、上海臨港經(jīng)濟發(fā)展(集團)有限公司、開放原子開源基金會主辦的“2024全球開發(fā)者先鋒大會”,將于2024年3月23日至24日舉辦。