Phát hiện 26.400 thông tin đăng nhập cloud và AI còn hiệu lực trong các kho mã công khai trên Gitee
Một nhà nghiên cứu độc lập phát hiện 26.400 thông tin đăng nhập vẫn còn hiệu lực bị lộ trong các kho mã công khai trên Gitee, nền tảng lưu trữ mã nguồn của Trung Quốc. Ben Zimmermann tìm thấy số thông tin này sau khi quét 7,25 triệu kho mã công khai và kiểm tra chúng vào ngày 28/10; phần lớn là các khóa truy cập dịch vụ cloud và AI. Bất kỳ ai sao chép được những khóa này đều có thể sử dụng dịch vụ hoặc tài khoản liên quan, tùy theo quyền hạn của từng khóa. Phát hiện cho thấy việc vô tình đưa secret vào mã nguồn công khai có thể tạo ra đường truy cập thực tế vào các hệ thống cloud và AI, chứ không chỉ là vấn đề tài liệu hay cấu hình.
Lập trình viên và doanh nghiệp nên kiểm tra các kho mã công khai, thu hồi và thay thế ngay mọi API key hoặc credential từng bị đưa lên đó, đồng thời dùng công cụ quét secret trước khi commit. Các nhóm vận hành dịch vụ AI và cloud cũng nên giới hạn quyền của từng khóa để giảm thiệt hại nếu bị lộ.
Đọc bài gốc