DevOps也要考虑安全问题：微软、任天堂等知名公司源码遭泄露

点击上方蓝色“程序猿DD”，选择“设为星标”

回复“资源”获取独家整理的学习资料！

来源 | https://www.oschina.net/news/117529/source-code-from-dozens-of-companies-leaked

据外媒 BleepingComputer 报道，由于基础架构配置有误，来自技术、金融、电商、制造业等众多领域的数十家知名公司源码遭到泄露。

这些公司包括微软、Adobe、联想，AMD、高通，摩托罗拉、海思、任天堂、迪士尼、江森自控等，而且这一名单还在不断增长中。

其中较早曝光并引发大量关注的属任天堂，泄露的代码中有不少经典游戏的开发仓库，包含很多游戏原型图，有《超级马力欧世界》、被取消的《塞尔达 2》重制版、《超级马力欧 64》以及《塞尔达传说：时之笛》等等。

来自瑞士的开发者 Tillie Kottmann 通过各类第三方源收集到了这些漏洞，他自己也找到了不少 DevOps 工具中的配置错误，而这些工具可以用来访问源代码。

遭泄露的源码被发布在 GitLab 上一个公开存储库中，并被标记为 “exconfidential” （绝密），以及 “Confidential & Proprietary”（保密&专有）。

（更新：GitLab 仓库均已被删除，Kottmann 现采用 telegram 群组来公布这些信息。）

根据安全研究人员 Bank Security 提供的信息，该存储库中大约包含了超过 50 家公司的源码。但有一些文件夹是空的，还有一些存在硬编码凭证——一种创建后门的方式。

Kottmann 提到，一些代码库中确实存在硬编码凭证，他在发布前已尽可能地将其删除，“以避免造成直接伤害或是助长更大的破坏”。另外，他也坦承自己并未在发布前与每一家受影响的公司进行联系，但他们确保自己“尽了最大的努力将负面影响最小化”。

目前，Kottmann 已应部分企业的要求删除了代码。例如 Daimler AG，梅赛德斯-奔驰的母公司；联想的文件夹也已经空空如也。针对有移除代码要求的公司，Kottmann 表示愿意遵守，并乐意提供信息，“帮助公司增强基础架构的安全性”。

事实上，从收到的 DMCA 通知数量（估计至多 7 份）和法律代表等的联系来看，许多公司仍对代码泄露事件不知情。另有部分公司没有撤除代码的意思，甚至有公司觉得“挺有趣”，只想知道 Kottmann 是如何获得代码的。

此次泄露的代码中，有一些项目早已由其原始开发者公开发布过，或是已经有很长时间不再更新和维护。网络安全公司 ImmuniWeb 的创始人兼首席执行官 Ilia Kolochenko 指出，“从技术角度来看，这次的泄露并不算很严重……若没有每天的支持和改进，源代码也会迅速贬值”。

尽管如此，这样大规模的泄露事件原因还是值得引起注意。许多公司使用错误的 DevOps 工具配置，引发源码暴露。Kottmann 及其团队近期正在探索运行 SonarQube 的服务器，他们发现，有成千上万的公司由于未能正确保护 SonarQube 安装而暴露了源码。

对于泄露源码的行为，安全专家 Jake Moore 对科技网站 Tom's Guide 表示，“失去对源代码的控制就像将银行蓝图交给抢劫犯一样……受影响的网站应立即采取保护措施……若用户在公司之前发现自己的数据遭到泄露，那无疑是在伤口上撒盐”。

基于法律层面，Kolochenko 认为源码发布者可能会因侵犯版权或违反计算机法而被起诉，但通常大型公司不会上诉，他们宁愿从存储库中快速删除源代码并修复其内部 DevOps 安全流程。

为此，Kolochenko 建议“企业应修改并持续监控 DevOps 操作，将其转换为敏捷的 DevSecOps”。

往期推荐

IntelliJ IDEA 2020.2 发布：支持Java 15、GitHub审查、运行时异常的排查辅助...

赠书：Apache顶级项目，SkyWalking为何一枝独秀？

Netty 解决粘包和拆包问题的四种方案

Mybatis 框架下 SQL 注入攻击的 3 种方式，真是防不胜防！

SQL 查询总是先执行SELECT语句吗？你们都错了！

欢迎加入我的知识星球，聊技术、说职场、侃社会。

星球两大分享内容