GitHub に AWS キーペアを上げると抜かれるってほんと？？？試してみよー！ - Qiita
🤔 前書き 稀によくある 、AWS を不正利用されちゃう話、 AWSで不正利用され80000ドルの請求が来た話 - Qiita 初心者がAWSでミスって不正利用されて$6,000請求、泣きそうになったお話。 - Qiita AWSが不正利用され300万円の請求が届いてから免除までの一部始終 - Qiita ブコメ等で GitHub にはアクセスキーを検索するBOTが常に動いていて、公開するとすぐに抜かれて不正利用される 的なコメントがつくのを何度か目にしたのですが、 本当にそんな BOT が動いているの？ どのくらいの時間でキーを抜かれて、不正利用が始まるの？ というのが気になったので、検証してみました。 GitHub にそれっぽいパブリックリポジトリを作成、権限が一つもついてない AWS のアクセスキー＆シークレットアクセスキーをうっかり公開、外部から利用されるまでの時間を計測します。
［速報］GitHub、依存関係表示でのパッケージやアプリケーション対応、セキュリティアラートなどの新機能発表。GitHub Universe 2017
基調講演では、GitHubの新機能としてプロジェクトの依存関係を表示する「Dependency graph」や、このDependency graphにおいてパッケージやアプリケーションの対応や、依存関係にあるパッケージなどで脆弱性が発見された場合に通知してくれる「Security alerts」機能などが発表されました。 プロジェクトの依存関係を表示する「Dependency graph」 GitHub上で開発されているソフトウェアの多くは、ほかのプロジェクトで開発されているソフトウェア、パッケージ、アプリケーションなどを利用しています。 同社はこうしたプロジェクトの依存関係を「Code metadata」として保持しており、同社 データサイエンスチームのエンジニアリングマネージャのMiju Han氏によると、リポジトリの75％が何らかの依存関係を持ち、半分以上は10以上の依存関係を持ち、
GitHubにさらしてしまったパスワードを探すツール
fossBytesに1月10日(米国時間)に掲載された記事「Hacker Publishes Open Source Tool For Finding Secret Keys On GitHub」が、GitHubに誤ってコミットしてしまったデータを見つけ出すツール「Truffle Hog」を紹介した。GitHubを使って開発を実施している場合、こうしたツールを活用することで誤ってパスワードをコミットしてしまったといった事態を検出しやすくなる。 昨今、開発用のリポジトリおよびプロジェクト管理またはコミュニケーションツールとして、GitHubが使われるケースが増えている。GitHubは開発で必要とされるバージョン管理機能を提供するのみならず、プロジェクト管理やコミュニケーションのための機能も提供しており、開発者から高い評価を得ている。 こうしたパブリックに公開されているサービスを使っている場合
TechCrunch | Startup and Technology News
From a new Nominations dashboard in App Store Connect, developers will be able to create their nominations, either one by one or by uploading a spreadsheet to nominate apps in…
今度はGitHubアカウントに不正侵入、パスワード使い回しが原因か
GitHubは6月16日、何者かが大量のGitHub.comアカウントに対して不正アクセスを試み、多数のアカウントにログインしていたことが分かったと発表した。被害に遭ったアカウントについてはパスワードをリセットする措置を取り、アカウントの復旧方法についてユーザーに通知を送信している。 発表によると、不正アクセスの動きは米太平洋時間の14日夜に発覚し、調べたところ、多数のGitHubアカウントに侵入されていたことが分かった。過去に他のオンラインサービスから流出したメールアドレスとパスワードの組み合わせがGitHubアカウントに対して試され、パスワードを使い回していたユーザーのアカウントが被害に遭ったと推定。GitHubがハッキングされたり、同社から情報が流出したわけではないと強調している。 不正侵入されたアカウントでは、ユーザー名とパスワードのほか、アクセス可能なリポジトリの一覧や組織名とい
Last night, GitHub was hit with massive denial-of-service attack from China
US & World/SpeechLast night, GitHub was hit with massive denial-of-service attack from China Last night, GitHub was hit with massive denial-of-service attack from China Last night, GitHub was hit with a massive denial of service attack. Some time Wednesday, scripts belonging to the internet giant Baidu began directing traffic to two specific GitHub pages: one run by GreatFire, and another mirrorin
GitHubユーザーのSSH鍵6万個を調べてみた - hnwの日記
（2015/1/30 追記）時期は不明ですが、現時点のgithub.comはEd25519鍵にも対応しています。 （2016/5/31 追記）「GitHubにバグ報告して賞金$500を頂いた話」で紹介した通り、既に弱い鍵はGitHubから削除され、新規登録もできなくなっています。 GitHub APIを利用して、GitHubの31661アカウントに登録されているSSH公開鍵64404個を取得してみました。抽出方法*1が適当すぎて偏りがあるような気もしますが、面白い結果が得られたと思うのでまとめてみます。 SSH鍵の種類 鍵の種類 個数 割合 RSA鍵 61749 (95.88%) DSA鍵 2647 (4.11%) ECDSA鍵 8 (0.01%) 約6万個の鍵のうち、8個だけECDSA（楕円DSA）鍵が見つかりました！常用しているのか試しに登録してみただけなのかはわかりませんが、何にせよ
GitHub に登録した SSH 公開鍵は全世界に公開されている | 774::Blog
意外と知らない人がいるようなのでブログに書いておきます。 GitHub のアドレスのあとに .keys を付けるとその人の SSH 公開鍵が表示される。 たとえば id774 さんの公開鍵であれば https://github.com/id774.keys を参照すれば良い。 ぜひ自分のアカウントで試してみて欲しい。 新規に用意するサーバーの ~/.ssh/authorized_keys に上記アドレスを wget したものを置いて適切なパーミッションを設定しておけばすぐに公開鍵認証ができるというわけである。 もうそろそろ公開鍵をメールで送ってくれとかいう文化が滅亡して GitHub から勝手に公開鍵を持っていくのが常識な世界になってほしい。
GitHubにブルートフォース攻撃、一部のパスワードが破られる
GitHubにブルートフォース攻撃、一部のパスワードが破られる：強固なパスワード設定や二要素認証を推奨 GitHubは米国時間の2013年11月19日、ブルートフォース攻撃を受けたことを明らかにした。攻撃の時期や被害を受けたアカウント数は公にしていないが、今回の攻撃を踏まえ、より強固なパスワードや二要素認証などを利用するようユーザーに呼び掛けている。 ブルートフォースとは、辞書などを用いて総当たり式にパスワードを試し、不正ログインを試みる攻撃のことだ。GitHubによると、今回の攻撃は4万近くの異なるIPアドレスから時間を掛けて行われた。この結果、脆弱なパスワードや、複数のサイトで使い回されているパスワードなどが破られたという。 GitHubでは、不正ログインの被害に遭ったユーザーにはメールで通知を行うとともに、パスワードのリセット、アクセストークン、OAuth認証、SSH鍵の失効措置を取
GitHubに大規模な不正ログイン試行 | 徳丸浩の日記
GitHubのブログおよび国内の報道によると、GitHubに対して大規模な不正ログインが試みられたようです。 GitHubは米国時間の2013年11月19日、ブルートフォース攻撃を受けたことを明らかにした。攻撃の時期や被害を受けたアカウント数は公にしていないが、今回の攻撃を踏まえ、より強固なパスワードや二要素認証などを利用するようユーザーに呼び掛けている。 GitHubにブルートフォース攻撃、一部のパスワードが破られるより引用 私もGitHubアカウントがありますのでSecurity Historyページを確認したところ、不正ログインの試行が確認されました。IPアドレスは、ベネズエラ、タイ、ブラジルのものです。 GitHubアカウントをお持ちの方は、念のためSecurity Historyを確認することを推奨します。 今回の不正ログインの特徴は以下のようなものです。 少数の「弱いパスワード
GitHub、大規模なブルートフォース攻撃受ける
GitHubが大規模なブルートフォース攻撃を受け、いくらかのユーザに関してはパスワードが不正に明らかになってしまったことが「Weak passwords brute forced」として伝えられた。パスワードが明らかになったユーザのパスワードはすでにリセットされているほか、パーソナルアクセストークン、OAuth認証、SSH鍵もすでに無効になっており、こうしたユーザに対してはパスワードをより強いものに変更すること、アカウントをレビューすることなどが推奨されている。 自分のアカウントがブルートフォース攻撃の対象となったかどうかは「Security History」のページから確認できる。11月22日よりも3日ないしは4日前に不正アクセスを受けている記録がある。不正ログインが確認されなかった場合でも、アカウント情報をチェックするとともに、2段階認証を有効にするなどして設定の見直しを実施することが
GitHubで多くのユーザーが秘密鍵を公開状態にしていたことが判明 | スラド オープンソース
GitHubでは23日から新しいコード検索機能が利用できるようになったが、これにより多くのユーザーが秘密鍵やパスワードの格納されたファイルを誤って公開状態にしていることが明らかになったとのこと(The GitHub Blogの記事、 HotHardwareの記事、 SC Magazineの記事、 本家/.)。 ソースコードと秘密鍵などを同じ場所に保存し、そのままGitHubにアップロードしてしまうユーザーも多くいるようで、新しい検索機能でヒットするようになったことから表面化したものとみられる。 この話題はTwitterで広まり、Google Chromeのソースコードリポジトリにアクセスするための認証情報とされるものを含め、数多くの検索リンクが投稿された。その後、検索機能が一時的に使用できなくなり、被害の拡大を防ぐためではないかと推測されていたが、GitHubでは今回の件とは無関係だとして
Secrets in the code
EngineeringSecrets in the codeProgramming often involves keeping a bunch of secrets around. You've got account passwords, OAuth tokens, SSL and SSH private keys. The best way to keep a secret is, well, to… Programming often involves keeping a bunch of secrets around. You’ve got account passwords, OAuth tokens, SSL and SSH private keys. The best way to keep a secret is, well, to keep it secret. Som
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
