Το Docker Hub θα μπορούσε να περιέχει χιλιάδες πολύτιμα μυστικά και είναι όλα σε κοινή θέα

Υπάρχουν «χιλιάδες» μυστικά που εκτίθενται στο Docker Hub, που κυμαίνονται από αβλαβή κλειδιά API έως δυνητικά επιβλαβείς πληροφορίες.

Αυτό είναι σύμφωνα με ερευνητές από το

Ερευνητική ομάδα Cybernews

, ο οποίος ανέλυσε πρόσφατα 10.178 εικόνες Docker Hub. Σε αυτά, βρήκαν σχεδόν 5.500 εικόνες κοντέινερ (54%) που κρατούσαν μυστικά που θα μπορούσαν να θεωρηθούν ευαίσθητες πληροφορίες.

Από αυτές τις 5.500 εικόνες κοντέινερ, οι ερευνητές ανέσυραν ακριβώς 191.529 μυστικά. Πολλά ήταν αντίγραφα τα οποία, όταν αφαιρέθηκαν, άφησαν στους ερευνητές ακριβώς 48.481 μοναδικά μυστικά.

Δισεκατομμύρια λήψεις

Το πιο κοινό μυστικό ήταν τα διακριτικά

GitHub

, που αποτελούν το 26,6% όλων των μυστικών που ανακαλύφθηκαν (51.038). Ακολούθησαν τα Datadog Tokens (13,9%) και τα Uniform Resource Identifiers (7,6%). Ανακαλύφθηκαν επίσης δέκα χιλιάδες ιδιωτικά κλειδιά που χρησιμοποιούνται για

κρυπτο

γράφηση ή αποκρυπτογράφηση.

Ενώ αυτοί οι αριθμοί είναι συγκλονιστικοί, εκείνοι που προσέχουν τη λεπτομέρεια μπορούν να ανακαλύψουν ακόμη πιο ισχυρά μυστικά. Για παράδειγμα, οι ερευνητές βρήκαν περισσότερα από 9.000 μυστικά

PayPal

OAuth, που χρησιμοποιούνται για τον έλεγχο της πρόσβασης σε λογαριασμούς χρηστών και οικονομικές πληροφορίες.

Επιπλέον

, υπήρχαν σχεδόν 8.000 μυστικά UnifyID που θα μπορούσαν να αποκαλύψουν δεδομένα ταυτότητας.

Τα κοντέινερ που περιέχουν αυτά τα μυστικά έχουν ληφθεί ήδη περισσότερες από 132 δισεκατομμύρια φορές.

«Αυτό σημαίνει ότι τα εκτεθειμένα μυστικά θα μπορούσαν να εκτελούνται σε πολλούς διακομιστές σε όλο τον κόσμο, θέτοντας κινδύνους και εξαντλούν τους πόρους του cloud από τους δυσδιάκριτους συνεργάτες του Docker Hub», προειδοποιεί ο ερευνητής του Cybernews, Vincentas Baubonis.

“Το να αφήνετε εκτεθειμένα τυχόν μυστικά κατά τη μεταφόρτωση των εικόνων σας στο Διαδίκτυο ενέχει υψηλό κίνδυνο να τα βρουν οι φορείς απειλών.”

Τα περισσότερα μυστικά, εξήγησαν περαιτέρω οι ερευνητές, προήλθαν από την

επα

ναχρησιμοποίηση πακέτων με ευαίσθητες πληροφορίες.

«Οι προγραμματιστές εκθέτουν διάφορους κρυφούς τύπους δεδομένων και έναν τεράστιο όγκο ευαίσθητων δεδομένων. Η αναλογία μοναδικών μυστικών για κάθε εικόνα ευάλωτου docker είναι πρακτικά οκτώ προς ένα, που σημαίνει ότι μια εικόνα, που εκθέτει τυχόν μυστικά, είναι πιθανό να εκθέτει οκτώ από αυτά κατά μέσο όρο», προειδοποίησε ο Baubonis.

Η έρευνα αποκαλύπτει μια διαδεδομένη πρακτική να αφήνονται ευαίσθητα δεδομένα σε εικόνες κοντέινερ, προκαλώντας έκκληση προς τους οργανισμούς να ενισχύσουν τα μέτρα ασφαλείας. Ο Baubonis συμβουλεύει τους προγραμματιστές να επαναφέρουν τα εκτεθειμένα μυστικά, να κρυπτογραφήσουν ευαίσθητα δεδομένα μέσα σε εικόνες και να εκπαιδεύσουν το προσωπικό σχετικά με τους κινδύνους που σχετίζονται με τα ενσωματωμένα δεδομένα.