image

HashiCorp GPG-sleutel gecompromitteerd via Codecov-backdoor

maandag 26 april 2021, 09:12 door Redactie, 5 reacties

Softwarebedrijf HashiCorp heeft de GPG private key die het gebruikt voor het signeren van software vervangen nadat aanvallers hier toegang toe hebben gekregen. Het bedrijf is één van de slachtoffers van de aanval op softwarebedrijf Codecov.

Codecov ontwikkelt tools voor het auditen van software. Zo kunnen softwareontwikkelaars kijken hoeveel van hun code door interne testscripts is getest. Eén van deze tools is Bash Uploader, die onder andere met GitHub-projecten is te integreren. Volgens Codecov wordt de tool door meer dan 29.000 bedrijven wereldwijd gebruikt.

Begin dit jaar wisten aanvallers de ontwikkelomgeving van Bash Uploader te compromitteren en voegden code toe die inloggegevens steelt zodra de tool wordt uitgevoerd. Vervolgens werden deze gegevens naar een server van de aanvallers gestuurd. De backdoor, die op 31 januari van dit jaar werd toegevoegd, bleef twee maandenlang verborgen.

HashiCorp is één van de bedrijven die van Bash Uploader gebruikmaakt. Uit onderzoek blijkt dat de aanvallers zo toegang hebben gekregen de tot de GPG private key die wordt gebruikt voor het signeren en verifieren van software. HashiCorp zegt dat het geen misbruik van de GPG-sleutel heeft waargenomen. "Om vertrouwen in het signeermechanisme te behouden is die vervangen", aldus het softwarebedrijf. Bestaande software is opnieuw gecontroleerd en gesigneerd met de nieuw private key.

Het softwarebedrijf komt nog met een update voor de Terraform-oplossing die het aanbiedt. Deze softwaretool downloadt automatisch bestanden en controleert de digitale handtekening. De patch zal ervoor dat zorgen dat de nieuwe GPG-sleutel wordt gebruikt. Het onderzoek naar de impact van de aanval is nog gaande. HashiCorp zal eventuele nieuwe ontwikkelingen via deze pagina bekendmaken.

Reacties (5)
26-04-2021, 11:15 door Anoniem
Men mag hopen dat de oude GPG sleutel niet alleen "vervangen" is, maar dat daarvan op het public keyserver netwerk ook het revocation certificate is gepubliceerd, dit om de oude sleutel ongeldig te verklaren.
26-04-2021, 13:01 door Anoniem
Door Anoniem: Men mag hopen dat de oude GPG sleutel niet alleen "vervangen" is, maar dat daarvan op het public keyserver netwerk ook het revocation certificate is gepubliceerd, dit om de oude sleutel ongeldig te verklaren.
Gevalletje van, zij zijn dom en ik ben alleen slim, dat ik dit zeg!
26-04-2021, 16:12 door Anoniem
Door Anoniem: Men mag hopen dat de oude GPG sleutel niet alleen "vervangen" is, maar dat daarvan op het public keyserver netwerk ook het revocation certificate is gepubliceerd, dit om de oude sleutel ongeldig te verklaren.

Dat kan geen kwaad. Of het ook enigszins nut heeft valt be betwijfelen.

*Hopelijk* zit de gpg check ingebouwd in de updater , vergelijkbaar met de Linux distro's.
Dan wordt de check overal en automatisch altijd gedaan - alleen komen key updates dan typisch niet van de keyservers.

Een gpg key waarbij gebruikers 'met de hand' moeten verifieren - en waarbij ze dan ook nog de keys van een keyserver moeten halen zal _ontzettend weinig_ gebruikt worden.

Een revoke en dikke waarschuwing op de plek waar *men* de bron-key geacht wordt te halen is zeker goed.
Maar dat zal tegenwoordig eerder de primaire website van de leverancier zijn dan de keyservers.
26-04-2021, 16:30 door Lizard
Door Anoniem: Men mag hopen dat de oude GPG sleutel niet alleen "vervangen" is, maar dat daarvan op het public keyserver netwerk ook het revocation certificate is gepubliceerd, dit om de oude sleutel ongeldig te verklaren.

Als je de moeite hebt genomen om de link te volgen zie je dit: "A new GPG keypair (fingerprint C874 011F 0AB4 0511 0D02 1055 3436 5D94 72D7 468F) has been published, and the exposed GPG keypair (fingerprint 91A6 E7F8 5D05 C656 30BE F189 5185 2D87 348F FC4C) has been revoked. Existing releases have been validated and re-signed, and updated information regarding key status and signature verification published to https://hashicorp.com/security."
26-04-2021, 16:32 door Erik van Straten
Door Anoniem: Men mag hopen dat de oude GPG sleutel niet alleen "vervangen" is, maar dat daarvan op het public keyserver netwerk ook het revocation certificate is gepubliceerd, dit om de oude sleutel ongeldig te verklaren.
Volgens https://pgp.mit.edu/pks/lookup?op=vindex&fingerprint=on&search=0x51852D87348FFC4C revoked op 2021-04-21
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.