La fissure du référentiel GitHub Gentoo Linux était le résultat d'une insuffisance de mot de passe

GitHub

Il y a environ une semaine, le dépôt Gentoo Linux GitHub a été piraté par un pirate qui a ensuite pu prendre le contrôle d'un compte et insérer un code malveillant dans les distributions. Ce code a été conçu pour supprimer les données utilisateur. Les développeurs de Gentoo ont pu reprendre le contrôle assez rapidement, mais c'était inquiétant car cela aurait pu causer beaucoup de dégâts aux installations des utilisateurs finaux. De plus, il est assez rare que le référentiel de code miroir d’un système d’exploitation entier soit repris.

Heureusement, les attaquants n'ont pas pu causer beaucoup de chagrin aux utilisateurs car ils n'ont pris en charge qu'un miroir pour les fichiers qui sont généralement stockés sur les propres serveurs de Gentoo. Les utilisateurs téléchargent le code à partir des serveurs officiels, de sorte que les choses ne sont pas vraiment compliquées pour une écrasante majorité d'utilisateurs de Gentoo.

La distribution a maintenant révélé que la raison pour laquelle le compte était sous le contrôle d'un utilisateur non autorisé était parce que le mot de passe d'un administrateur de l'organisation était médiocre et facile à deviner. Les vecteurs d’attaque sophistiqués n’ont pas été utilisés et ce n’était pas le résultat d’un travail interne. Il était plutôt simple de deviner le mot de passe de l’utilisateur.

Une entrée sur le wiki Gentoo Linux qui a ensuite été rapportée par un certain nombre de sites d'actualités technologiques suggère que la personne avait un système de mot de passe qui permettait de deviner facilement les informations de connexion pour d'autres sites dont cet utilisateur particulier détenait des comptes.

Alors que certains commentateurs ont mentionné qu'un système d'autorisation à deux facteurs aurait pu aider à empêcher ce type d'attaque de se produire, la définition d'un mot de passe de base est souvent une invitation à l'attaque. Gentoo est très ouvert avec les détails et ils ont mis une série de nouvelles mesures de sécurité qui devraient réduire le risque que cela se produise à l'avenir.

Les utilisateurs finaux, cependant, n'avaient pas vraiment de moyen de vérifier que leur arborescence contenait des copies propres des logiciels. Gentoo admet également qu'à l'avenir, ils doivent définir des directives plus claires et expliquer comment ils peuvent empêcher les systèmes compromis d'exécuter du code ajouté dans des commits malveillants.

Les choses auraient pu être bien pires pour les utilisateurs finaux, mais les développeurs et chefs de projet de Gentoo ont déclaré qu’ils comprenaient parfaitement qu’une attaque plus silencieuse aurait potentiellement conduit à une plus longue fenêtre d’opportunité pour les crackers.