بقيت 26 ألفا و400 بيانة اعتماد تركها مطورون في شيفرات عامة على جيتي (Gitee)، خدمة استضافة الشيفرات الصينية، صالحة للعمل حين اختبرها باحث، وكان بوسع أي شخص نسخ أي منها من تلك الشيفرات واستخدامه. وعثر عليها الباحث المستقل بن زيمرمان بعد فحص 7.25 مليون مستودع عام على المنصة، ونشر نتائجه في 28 أكتوبر. وكان معظمها مفاتيح لخدمات سحابية وخدمات ذكاء اصطناعي، تتصدرها 9 آلاف و473 زوجا من مفاتيح الوصول AccessKey الخاصة بعلي بابا كلاود.
وأرسل زيمرمان إلى الشركات الأكثر تضررا قوائم بالاعتمادات المكشوفة لديها، لكنه لم يتواصل مع المطورين الذين سربوها. ولم يكن قد تأكد وقت النشر من إلغاء أي من الاعتمادات المبلغ عنها، ولذلك لا ينبغي لمن دفع مفتاحا إلى مستودع عام على جيتي أن يفترض أنه أُلغي. واستمر الفحص نحو شهر، غير أن الباحث لم يذكر تواريخه، فلا يُعرف منذ متى اختُبرت الاعتمادات، كما لم يوضح ما إذا كان أحد غيره قد استخدمها.
كيف جرى الفحص وماذا كشف؟
استخدم زيمرمان ماسحين للأسرار هما تروفل هوغ (TruffleHog) وكينغفيشر (Kingfisher) على كل مستودع، وجرّب كلاهما كل اعتماد على الخدمة التي أصدرته، واحتفظا بما نجح فقط. وقرأ الماسحان سجل التعديلات الكامل لكل مستودع، فيمكن العثور على مفتاح أزاله المطور لاحقا من الشيفرة واحتسابه. ويحسب الرقم الإجمالي كل اعتماد مرة واحدة بغض النظر عن عدد المستودعات التي ظهر فيها. وبحسب تاريخ التعديل، يعود 12 ألفا و242 اعتمادا إلى عام 2025، أي قرابة نصف المجموع، وبعضها يعود إلى أواخر العقد الأول من الألفية.
وبعد مفاتيح علي بابا كلاود، جاءت 3 آلاف و805 مفاتيح لواجهات يوتيوب البرمجية، و3 آلاف و170 مفتاحا لديب سيك، و1489 مفتاحا لمنصة الذكاء الاصطناعي BigModel التابعة لشركة زيبو، و1348 مفتاحا لأوبن إيه آي. وعُثر على أعداد أقل لمفاتيح جيت هاب وأمازون ويب سيرفيسز وجوجل كلاود وجيميني من جوجل. وكان بين الاعتمادات اعتماد مسؤول مؤسسة نشط لمنصة ذكاء اصطناعي مؤسسية كبرى، لم يسمّها زيمرمان ولم يوضح ما الذي كان يمكن الوصول إليه به.
ويتوقف ما يتيحه المفتاح العامل على الخدمة نفسها. فبحسب أوبن إيه آي، يتيح المفتاح المخترق لشخص آخر استهلاك حصة الحساب دون موافقة صاحبه، وقد يؤدي إلى فقدان البيانات ورسوم غير متوقعة واستنفاد الحصة الشهرية وتعطل الوصول إلى الواجهة البرمجية. أما مفتاح يوتيوب فهو مفتاح واجهة برمجية في جوجل كلاود يعرّف المشروع، ومتى خلا من قيود الواجهات أمكن استخدامه مع كل الواجهات التي تقبل مفاتيح جوجل كلاود.
ماذا يفعل من نشر مفاتيح في مستودع عام؟
ينبغي اعتبار أي مفتاح وُجد يوما في مستودع عام على جيتي مكشوفا، وإلغاؤه لدى المزود. فحذفه من الشيفرة أو إعادة كتابة سجل المستودع لا يلغيه، بحسب ما تشير إليه شركة تروفل سيكيوريتي صانعة تروفل هوغ. ففي علي بابا كلاود، يُنشأ زوج مفاتيح جديد وتُحوَّل التطبيقات إليه، ثم يُعطَّل الزوج القديم ويُحذف، مع مراجعة الرسوم غير المتوقعة والموارد التي أُنشئت أو حُذفت دون حاجة، وفق خطة الاستجابة للتسريب لدى الشركة. ويعرض ActionTrail استدعاءات المفتاح خلال آخر 90 يوما، أما عمليات البيانات في خدمات مثل OSS وSLS فتجب مراجعتها في سجلات كل خدمة.
وفي مفاتيح جوجل ويوتيوب، يجري تدوير المفتاح فيُنشأ مفتاح جديد بالقيود نفسها، ثم تُحدَّث التطبيقات ويُحذف المفتاح القديم، مع إضافة قيود على الواجهات بحيث يعمل المفتاح مع الواجهات المطلوبة فقط. وفي أوبن إيه آي، تنصح الشركة بتدوير المفتاح فورا من صفحة مفاتيح الواجهة البرمجية، وضبط حدود للإنفاق للحد من الرسوم الناتجة عن مفتاح مسرب.
ماسحان وصلا إلى نتائج مختلفة
تصنع شركة مونغو دي بي أداة كينغفيشر، وأُعدت مقالة زيمرمان بمشاركة فريقها. وفي هذا الفحص، عثر تروفل هوغ على 12 ألفا و737 اعتمادا عاملا، وكينغفيشر على 14 ألفا و664، لكن 1001 فقط وجدهما الاثنان معا، أي أن كل أداة وحدها وجدت نحو نصف المجموع. وعثر تروفل هوغ على معظم مفاتيح علي بابا كلاود تقريبا، بينما عثر كينغفيشر على مفاتيح BigModel كلها البالغة 1489، لأن تروفل هوغ لا يملك كاشفا لمفاتيح زيبو، كما كتب زيمرمان. وعلى الفرق التي تعتمد على ماسح واحد أن تتحقق من كواشفه مقابل الخدمات التي تستخدمها.
جيتي ومنصات استضافة الشيفرات الأخرى
اختارت وزارة الصناعة وتقنية المعلومات الصينية جيتي عام 2020 أساسا لمنصة وطنية لاستضافة الشيفرات مفتوحة المصدر. وواجهة جيتي العامة محدودة، وقد تخلت محاولة لدراسة الاعتمادات المسربة على الموقع عام 2021 بسببها. ويبلغ معدل جيتي 3.64 اعتماد عامل لكل ألف مستودع جرى فحصه، وهو أعلى من معدلات فحوص سابقة لجيت لاب (3.11) وبت باكيت (2.39)، علما أن تلك الفحوص استخدمت تروفل هوغ وحده. وبحسب نتائج تروفل هوغ وحدها، يبلغ معدل جيتي 1.76، لكن هذا الرقم يستثني خدمات لا يغطيها الماسح مثل زيبو، ولذلك لا يبين أي الرقمين أي المنصات أكثر تسريبا.
