En un estudio reciente, un investigador de seguridad ha escaneado más de 7 millones de repositorios públicos en Gitee, la principal plataforma de hospedaje de código en China, y ha descubierto una alarmante exposición de credenciales. El trabajo realizado ha indicado que al menos 26,400 credenciales únicas siguen activas y han sido verificadas como válidas, incluyendo claves de acceso a grandes plataformas de inteligencia artificial y proveedores de servicios en la nube.
Un panorama de Gitee
Gitee, lanzado en 2013 y elegido por el Ministerio de Industria y Tecnología de la Información de China como la plataforma nacional de código abierto, presenta características que la hacen vulnerable a la exposición de credenciales. A diferencia de plataformas como GitHub, Gitee tiene un API bastante limitado, lo que dificulta la búsqueda y el acceso a los datos de los repositorios. Esto, sumado a la gran cantidad de repositorios públicos y el hecho de que los secretos pueden persistir en el historial de commits, convierte a Gitee en un objetivo atractivo para los investigadores de seguridad.
Metodología de escaneo
El investigador utilizó herramientas como TruffleHog y Kingfisher para llevar a cabo el escaneo de los repositorios. Ambos escáneres se ejecutaron simultáneamente en cada repositorio, lo que facilitó la identificación de más credenciales expuestas que si se hubiera utilizado sólo una de las herramientas. Para gestionar el gran volumen de repositorios, se dividieron en lotes, permitiendo un análisis más manejable y eficiente.
La duración total del proceso fue de aproximadamente un mes, con un costo asociado de casi 3,100 dólares, financiado en parte por créditos computacionales disponibles a través de una colaboración con Modal. La estructura de trabajo se puede replicar en otras plataformas de hospedaje, con modificaciones mínimas.
Resultados del escaneo
Los hallazgos revelaron que la mayoría de las credenciales expuestas se habían comprometido en los últimos dos años, y un notable porcentaje pertenecía a Alibaba Cloud. Uno de los hallazgos clave indica que casi una de cada 766 repositorios de Gitee contiene alguna credencial de Alibaba Cloud en estado activo. Los datos también reflejan que las direcciones de correo electrónico asociadas a muchos de estos compromisos son de servicios personales, dificultando la atribución a empresas específicas.
Comparativa con otras plataformas
Los resultados obtenidos en Gitee superan las tasas de exposición en plataformas como GitLab y Bitbucket, tanto en términos absolutos como en densidad de credenciales expuestas por repositorio. Esto sugiere que la vulnerabilidad en Gitee no es un fenómeno aislado y refleja un problema más amplio en la seguridad de cómo los desarrolladores manejan sus credenciales.
Implicaciones para la seguridad
La magnitud de estos hallazgos subraya la necesidad urgente de prácticas sólidas de gestión de secretos en el desarrollo de software. Muchas grandes empresas, tanto chinas como internacionales, están implicadas en este fenómeno, lo que pone de relieve la falta de conciencia sobre la seguridad en el manejo de credenciales y la importancia de contar con canales de divulgación para mitigar los riesgos asociados.
En este contexto, las empresas deben considerar la implementación de herramientas avanzadas de detección y monitoreo para evitar la exposición de credenciales, así como fomentar una cultura de seguridad que priorice la protección de datos sensibles.