Ce qui se passe quand on téléverse une clé secrète dans un repo public

 (threadreaderapp.com)
17 points par xguru 2020-11-09 | 3 commentaires | Partager sur WhatsApp

Résultat d’une expérience menée réellement sur GitHub et GitLab, récapitulée dans l’ordre chronologique

  1. Commit d’une clé AWS sur GitHub

  2. 7 minutes plus tard, alerte de fuite de la part de GitGuardian

  3. 11 minutes plus tard, le token est compromis (compromised, exposé et donc plus sûr)

  4. Pendant 2 heures, 5 alertes d’accès depuis l’Allemagne, les Pays-Bas, le Royaume-Uni, l’Ukraine, etc.

  5. GitHub envoie un mail d’avertissement pour des dépendances vulnérables (Vulnerable Dependencies)

  6. Commit sur GitLab

  7. 62 minutes plus tard, première et dernière utilisation du token depuis la France

  8. Aucune alerte de sécurité reçue de la part de GitLab (les alertes de sécurité ne sont fournies qu’aux utilisateurs Gold/Ultimate)

Enseignements

  1. Il y a davantage de services qui scannent GitHub que GitLab

  2. Si vous utilisez GitHub, jetez un œil au service GitGuardian

  3. Si vous utilisez GitLab, envisagez une mise à niveau vers Gold/Ultimate

  4. Pour empêcher une fuite en amont, utilisez Talisman (pre-commit hook)

  5. Pour vérifier a posteriori s’il y a eu une fuite, envisagez d’adopter GitLeaks

À lire aussi

3 commentaires

 
galadbran 2020-11-09

C’est un peu embarrassant, mais il m’est déjà arrivé de publier une clé dans un dépôt GitHub, et AWS m’a contacté. Ils m’ont expliqué que si je ne réglais pas le problème dans le délai imparti, la clé serait désactivée, et m’ont conseillé de la remplacer rapidement ainsi que de changer le mot de passe du compte, entre autres mesures.
 
xguru 2020-11-09

On passe tous par là au moins une fois... haha