Phát hiện 26.400 thông tin xác thực Cloud và AI bị lộ trên các kho lưu trữ Gitee công khai

Một nghiên cứu độc lập từ chuyên gia bảo mật Ben Zimmermann vừa công bố phát hiện chấn động: hơn 26.400 thông tin xác thực (credentials) hợp lệ đã bị bỏ quên trong các kho lưu trữ mã nguồn công khai trên Gitee – nền tảng lưu trữ code phổ biến tại Trung Quốc. Những dữ liệu này bao gồm các khóa API quan trọng cho các dịch vụ Cloud và AI, cho phép bất kỳ ai có quyền truy cập đều có thể khai thác trái phép.

Chi tiết về sự cố lộ lọt

Thông qua việc quét hơn 7,25 triệu kho lưu trữ công khai trên Gitee bằng hai công cụ chuyên dụng là TruffleHog và Kingfisher, Zimmermann đã xác định được danh sách các khóa còn hiệu lực. Đáng chú ý, trong số này có 9.473 cặp AccessKey của Alibaba Cloud, cùng hàng nghìn khóa API cho YouTube, DeepSeek, nền tảng BigModel của Zhipu và OpenAI.

Đáng lo ngại hơn, nghiên cứu còn tìm thấy một thông tin xác thực có quyền quản trị cấp tổ chức (organization-admin) cho một nền tảng AI doanh nghiệp lớn. Việc lộ lọt các khóa này không chỉ dẫn đến nguy cơ mất mát dữ liệu mà còn gây ra các hóa đơn chi phí bất ngờ do bị kẻ gian lợi dụng hạn ngạch sử dụng (quota) của chủ sở hữu.

Tại sao việc xóa code không đủ an toàn?

Nhiều nhà phát triển lầm tưởng rằng việc xóa khóa khỏi code hoặc thay đổi lịch sử commit là đủ để bảo vệ tài khoản. Tuy nhiên, các công cụ quét như TruffleHog có khả năng đọc toàn bộ lịch sử commit của kho lưu trữ, nghĩa là các khóa đã bị xóa từ lâu vẫn có thể bị truy xuất. Theo các chuyên gia, cách duy nhất để đảm bảo an toàn là thu hồi (revoke) hoàn toàn các khóa này tại hệ thống của nhà cung cấp dịch vụ.

Khuyến nghị cho nhà phát triển

Nếu bạn từng vô tình đẩy các khóa xác thực lên kho lưu trữ công khai, hãy thực hiện ngay các bước sau:

Alibaba Cloud: Tạo cặp AccessKey mới, cập nhật cho ứng dụng và vô hiệu hóa/xóa cặp khóa cũ. Kiểm tra lịch sử API qua ActionTrail để phát hiện các hoạt động bất thường.
Google/YouTube API: Thực hiện xoay vòng khóa (rotate key), cập nhật ứng dụng và thiết lập các hạn chế API (API restrictions) để giới hạn phạm vi sử dụng.
OpenAI: Ngay lập tức xoay vòng khóa thông qua trang quản trị API Keys và thiết lập hạn mức chi tiêu để giảm thiểu rủi ro tài chính.

Nghiên cứu cũng nhấn mạnh rằng các đội ngũ bảo mật không nên chỉ dựa vào một công cụ quét duy nhất. Trong thử nghiệm này, TruffleHog và Kingfisher cho thấy kết quả khác biệt đáng kể, với tỷ lệ phát hiện trùng lặp thấp, cho thấy sự cần thiết của việc đa dạng hóa các giải pháp kiểm soát an ninh trong quy trình phát triển phần mềm (DevSecOps).

Nguồn tham khảo: The Hacker News