El crack del dipòsit GitHub de Gentoo Linux va ser el resultat d’una deficiència de contrasenya

GitHub

Fa aproximadament una setmana, el repositori Gentoo Linux GitHub va ser interromput per un cracker que va poder controlar el compte i inserir codi maliciós a les distribucions. Aquest codi s'ha dissenyat per suprimir les dades de l'usuari. Els desenvolupadors de Gentoo van poder recuperar el control amb força rapidesa, però va ser preocupant perquè podria haver causat un gran dany a les instal·lacions dels usuaris finals. A més, és bastant estrany que es faci càrrec del dipòsit de codis rèplica de tot un sistema operatiu.

Afortunadament, els atacants no van poder causar molta pena als usuaris, ja que només es van fer càrrec d’un mirall per als fitxers que normalment s’emmagatzemen als servidors de Gentoo. Els usuaris descarreguen codi dels servidors oficials, de manera que les coses no es van posar molt de moda per a una aclaparadora majoria dels usuaris de Gentoo.

Ara la distribució ha revelat que el motiu pel qual el compte va estar sota el control d’un usuari no autoritzat era perquè la contrasenya d’un administrador de l’organització era deficient i fàcil d’endevinar. No es van utilitzar vectors d’atac sofisticats i no va ser el resultat d’un treball intern. Més aviat, era senzill endevinar la contrasenya de l’usuari.

Una entrada al wiki de Gentoo Linux que va ser comunicada per diversos llocs de notícies tecnològiques suggereix que la persona tenia un esquema de contrasenyes que facilitava endevinar les credencials d’inici de sessió d’altres llocs dels quals aquest usuari tenia comptes.

Tot i que alguns comentaristes han mencionat que un sistema d’autorització de dos factors podria haver ajudat a evitar que es produís aquest tipus d’atac, establir una contrasenya bàsica sol ser una invitació a l’atac. Gentoo està sent molt proper amb detalls i han posat una sèrie de noves mesures de seguretat que haurien de reduir el risc que això passi en el futur.

Tanmateix, els usuaris finals no tenien cap manera de verificar que el seu arbre tingués còpies netes del programari. Gentoo també admet que en el futur hauran d’establir orientacions més clares i explicar com poden evitar que els sistemes compromesos executin codi afegit en commissions malicioses.

Les coses podrien haver estat molt pitjors per als usuaris finals, però els desenvolupadors i gestors de projectes de Gentoo han afirmat que entenen perfectament que un atac més tranquil podria conduir a una finestra d’oportunitats més llarga per als crackers.