CISA GitHub泄密：公共代码仓库意外暴露政府云密钥

其中一些凭证与 高权限的AWS GovCloud账户 相关。AWS GovCloud是亚马逊为美国政府机构及承包商提供的隔离云环境，用于处理敏感但未涉密的政府数据。

安全专家指出，如果这些密钥仍然有效并且权限较高，理论上可以直接访问云资源或内部系统。

研究人员如何发现泄露

这起事件最初由安全公司 GitGuardian 的研究员 Guillaume Valadon 发现。GitGuardian长期使用自动化工具扫描GitHub等公开代码平台，以检测被意外提交的密钥和密码。

其扫描系统在仓库中发现大量凭证后触发警报。GitGuardian随后尝试联系仓库关联的GitHub账户或承包商，但没有得到回应。

在多次尝试失败后，Valadon于 5月15日 将情况告知知名网络安全记者 Brian Krebs。Krebs随后向相关机构通报并公开报道此事，问题才被迅速升级处理。

仓库随后被关闭并从公开网络中移除。

可能带来的安全风险

尽管仓库在曝光后很快被删除，但这类泄露仍然带来明显风险。

如果部分凭证在当时仍然有效，理论上可能被用于访问：

• AWS GovCloud上的政府云基础设施
• CISA内部开发或部署系统
• 身份认证和访问控制服务
• DevOps流水线与配置管理系统

研究人员指出，在发现时，一些凭证似乎仍处于有效状态。

不过截至公开报道为止，没有证据显示有人在仓库删除前利用这些凭证进行攻击或访问系统。

CISA的官方回应

CISA承认发生了相关暴露事件，并表示正在调查仓库是如何公开的。

该机构对外表示，目前 没有证据显示敏感数据被窃取或系统遭到入侵。

与此同时，美国国会部分议员要求CISA提供情况说明，并对这一事件进行简报，以确认联邦系统是否受到影响。

为什么这起事件格外尴尬

这起事件之所以引发如此大的关注，一个重要原因是：CISA正是美国政府负责指导网络安全实践的核心机构。

该机构经常向政府部门、企业和关键基础设施运营者发布安全指南，例如：

• 如何安全管理账号凭证
• 如何存储密钥和访问令牌
• DevOps环境中的安全开发流程
• 防止敏感数据被提交到公开代码仓库

因此，当与CISA相关的凭证被发现公开在GitHub上时，这种“与自己发布的安全建议相违背”的情况引发了广泛讨论。

更大的启示

事实上，这类事故在软件行业并不少见。开发者有时会在提交代码时不小心把密码、密钥或配置文件一起上传到版本控制系统。

如今许多安全公司和平台都在持续扫描公开代码仓库，寻找类似的泄露。正是因为这种自动化扫描机制，这次事件才被研究人员及时发现，并在潜在攻击者利用之前得到处理。

即便如此，这起事件仍然提醒人们：在复杂的政府或企业技术环境中，一个配置错误的代码仓库，就可能成为通往关键基础设施的大门。