ايتنا - حمله brute-force علیه GitHub

اخیرا خدمات GitHub یكی از محبوبترین مخزن های كد منبع، هدف حملات brute-force قرار گرفته است. در این حملات برخی از حساب های كاربری افشاء شده است.

به گزارش ایتنا از مرکز ماهر، شاون داونپورت، مهندس امنیت GitHub در پست وبلاگی نوشت: ما پیام هایی را برای كسانی كه حساب های كاربری آن ها مورد حمله قرار گرفته است ارسال كردیم تا آن ها را از این قضیه مطلع سازیم.
رمزهای عبور این افراد تغییر داده شد و توكن های دسترسی خصوصی، تفویض اختیار OAuth و كلیدهای SSH همگی باطل شده است.

به كاربران توصیه می شود تا صفحه Security History حساب كاربری خود را برای تغییرات احتمالی بررسی نمایند و هم چنین احراز هویت دو مرحله ای را فعال نمایند.

داونپورت گفت: GitHub رمزهای عبور را با استفاده از تابع bcrypt و به صورت امن ذخیره می كند و هم چنین از مكانیزمی استفاده می كند تا بتواند جلوی حملات حدس زدن رمز عبور را بگیرد. با این وجود در حمله اخیر برای حدس زدن رمزهای عبور ضعیف یا رمزهای عبوری كه در چندین سایت به كار برده می شود،از ۴۰۰۰۰ آدرس IP واحد استفاده شده است.

این امكان وجود دارد كه مهاجمان با استفاده از نام های كاربری و رمز عبور افشاء شده از وب سایت های دیگر، خدمات GitHub را هدف حمله قرار داده اند.

تعداد دقیق حساب های كاربری GitHub كه باید رمز عبور آن ها تغییر یابد مشخص نشده است. Github قصد دارد تا محدودیت های بیشتری را پیاده سازی نماید و به كاربران اجازه ندهد تا از رمزهای عبور ضعیف و متداول استفاده نمایند.

در حال حاضر صفحه ورود به GitHub از كاربران می خواهد تا رمز عبور آن ها حداقل ۷ كاراكتر داشته و حداقل یك حرف بزرگ یا یك عدد در آن استفاده شود.