GitHub
För ungefär en vecka sedan bröts Gentoo Linux GitHub-förvaret in av en krackare som sedan kunde ta kontroll över ett konto och infoga skadlig kod i distributionerna. Den här koden har utformats för att radera användardata. Gentoos utvecklare kunde återta kontrollen ganska snabbt, men det var oroande eftersom det kunde ha gjort en hel del skada på slutanvändarinstallationer. Dessutom är det ganska sällsynt att ett helt operativsystems spegelkodförvar tas över.
Lyckligtvis kunde angriparna inte orsaka mycket sorg för användarna eftersom de bara tog över en spegel för filer som vanligtvis lagras på Gentoos egna servrar. Användare laddar ner kod från de officiella servrarna, så saker och ting blev inte riktigt håriga för en överväldigande majoritet av Gentoo-användare.
Distro har nu avslöjat att anledningen till att kontot kom under kontroll av en obehörig användare var att en organisationsadministratörs lösenord var dåligt och lätt att gissa. Sofistikerade attackvektorer användes inte, och det var inte resultatet av ett inre jobb. Det var snarare enkelt att gissa användarens lösenord.
En post på Gentoo Linux-wiki som sedan rapporterades av ett antal tekniska nyhetswebbplatser antyder att personen hade ett lösenordsschema som gjorde det enkelt att gissa inloggningsuppgifter för andra webbplatser som just denna användare hade konton för.
Medan vissa kommentatorer har nämnt att ett tvåfaktors auktoriseringssystem kan ha hjälpt till att förhindra att denna typ av attack inträffar, är det ofta en inbjudan till attack att ställa in ett grundläggande lösenord. Gentoo är mycket framträdande med detaljer och de har infört en serie nya säkerhetsåtgärder som ska minska risken för att detta händer i framtiden.
Slutanvändare hade dock inte riktigt ett sätt att verifiera att deras träd hade rena kopior av programvara. Gentoo erkänner också att de i framtiden måste ange tydligare vägledning och förklara hur de kan förhindra komprometterade system från att köra kod som läggs till i skadliga åtaganden.
Saker kunde ha varit mycket värre för slutanvändare, men Gentoos utvecklare och projektledare har sagt att de förstår att en tystare attack potentiellt skulle kunna leda till ett längre fönster för crackers.
Taggar Gentoo Linux-säkerhet
