Giteeの725万リポジトリをスキャン、生きた認証情報が26,400件見つかる
26,400 live credentials found scanning 7.25M repos on China's Gitee
独立系セキュリティ研究者のBen Zimmermann氏が、中国最大のGitホスティングGiteeの公開リポジトリ725万件をTruffleHogとKingfisherの二重スキャンで調査し、実際に認証が通る認証情報を26,400件特定した。最多はAlibaba CloudのAccessKeyで、大手AIプラットフォームの組織管理者権限も含まれる。リポジトリあたりの密度はGitLabやBitbucketの既存調査を上回る。
西洋企業は通常バグバウンティ制度やアクセス可能なセキュリティ窓口を持つが、中国企業の大半はそうではなく、漏えいした認証情報に明確な是正の道筋が残されていない。
- gosen
その差がそんなに小さいなんて驚きだ！1kリポジトリあたり3.64対3.11か。
Giteeはスキャンの提携が一切ないからもっとひどいと思ってたよ…
GitHubもあの表に入れて、プッシュ保護が実際にその数字をどれだけ変えるのか知りたいな
- nitroedge
じゃあ、誰かがこれらの認証情報の一部を使って、有効な間ずっと無料のAIを楽しんだらどうなるんだ？これが今は刑事罰の対象になっているのか、これまでの刑罰はどうだったのか、単純に興味がある。
少し前に、公開されていたOllamaインスタンスをリストアップして、それぞれの横に毎秒トークン数のスループットを載せていたサイトがあったのを覚えているよ。
- dorianmariecom
GitHubやGitLabなどでも同じだ