- นักวิจัยด้านความปลอดภัยรายหนึ่งเปิดเผยว่าเขาพบ โทเค็นเข้าถึง GitHub ที่พนักงานของ Home Depot เผลอโพสต์ไว้บนออนไลน์ ทำให้ระบบภายในถูกเปิดให้เข้าถึงจากภายนอกเป็นเวลานาน 1 ปี
- โทเค็นดังกล่าวให้สิทธิ์เข้าถึงและแก้ไข ที่เก็บซอร์สโค้ดส่วนตัวหลายร้อยแห่ง และยังเข้าถึง โครงสร้างพื้นฐานคลาวด์·ระบบประมวลผลคำสั่งซื้อ·ระบบจัดการสินค้าคงคลัง ได้ด้วย
- นักวิจัยส่งอีเมลและข้อความ LinkedIn ไปยัง Home Depot หลายครั้ง แต่ ไม่มีการตอบกลับเป็นเวลาหลายสัปดาห์
- Home Depot เพิ่งแก้ไขการเปิดเผยนี้และเพิกถอนสิทธิ์ของโทเค็น หลังจากที่ TechCrunch ติดต่อไปแล้ว
- Home Depot ไม่มี ระบบรับแจ้งช่องโหว่หรือโครงการบั๊กบาวน์ตี ทำให้เหตุการณ์นี้สะท้อน ปัญหาการขาดระบบตอบสนองด้านความปลอดภัย
ภาพรวมเหตุการณ์การเปิดเผยการเข้าถึงระบบภายในของ Home Depot
- นักวิจัยด้านความปลอดภัยรายหนึ่งพบ โทเค็นเข้าถึงแบบส่วนตัว ที่พนักงานของ Home Depot โพสต์ไว้บนออนไลน์
- คาดว่าโทเค็นนี้ถูกเปิดเผยตั้งแต่ต้นปี 2024
- นักวิจัยยืนยันว่าโทเค็นนี้สามารถใช้เข้าถึงและแก้ไข ที่เก็บ GitHub ของ Home Depot หลายร้อยแห่ง ได้
- คีย์ที่รั่วไหลออกมานี้เปิดทางให้เข้าถึงระบบภายในหลายส่วนของ Home Depot เช่น โครงสร้างพื้นฐานคลาวด์, ระบบประมวลผลคำสั่งซื้อ, ระบบจัดการสินค้าคงคลัง, และ ไปป์ไลน์การพัฒนาโค้ด
- Home Depot โฮสต์โครงสร้างพื้นฐานด้านการพัฒนาและวิศวกรรมเกือบทั้งหมดบน GitHub มาตั้งแต่ปี 2015
คำเตือนจากนักวิจัยและการตอบสนองของบริษัท
- นักวิจัย Ben Zimmermann ส่งอีเมลไปยัง Home Depot หลายครั้ง แต่ ไม่มีการตอบกลับเป็นเวลาหลายสัปดาห์
- เขายังส่งข้อความ LinkedIn ถึง Chris Lanzilotta ประธานเจ้าหน้าที่ฝ่ายความปลอดภัยสารสนเทศ (CISO) ของ Home Depot แต่ก็ไม่ได้รับคำตอบ
- Zimmermann ระบุว่าในช่วงไม่กี่เดือนที่ผ่านมาเขาพบกรณีการเปิดเผยลักษณะคล้ายกันของบริษัทอื่น ๆ และบริษัทส่วนใหญ่ แสดงความขอบคุณ
- เขากล่าวว่า “มีแค่ Home Depot เท่านั้นที่เมินเฉยต่อฉัน”
มาตรการหลังจาก TechCrunch เข้ามาเกี่ยวข้อง
- Home Depot ไม่มี โปรแกรมรับแจ้งช่องโหว่หรือบั๊กบาวน์ตี
- ด้วยเหตุนี้ Zimmermann จึงติดต่อ TechCrunch เพื่อขอให้ช่วยแก้ปัญหา
- เมื่อ TechCrunch ติดต่อโฆษกของ Home Depot คือ George Lane เมื่อวันที่ 5 ธันวาคม เขายืนยันว่าได้รับอีเมลแล้ว แต่หลังจากนั้น ไม่ได้ตอบคำถามเพิ่มเติม
- หลังจากนั้นโทเค็นที่เปิดเผยก็ถูกนำออกจากออนไลน์ และสิทธิ์เข้าถึงก็ ถูกเพิกถอนทันทีหลังจาก TechCrunch ติดต่อ
การขอให้ตรวจสอบเพิ่มเติมและการไม่ตอบกลับ
- TechCrunch ถาม Home Depot ว่า สามารถตรวจสอบผ่านวิธีการทางเทคนิค เช่น บันทึกการทำงานของระบบ ได้หรือไม่ว่าโทเค็นนี้เคยถูกบุคคลอื่นนำไปใช้หรือไม่ แต่ ไม่ได้รับคำตอบ
- ด้วยเหตุนี้จึงยังไม่สามารถยืนยันได้ว่า มีการเข้าถึงจากภายนอกจริงหรือไม่ หรือความเสียหายมีขนาดเท่าใด
ความหมายของเหตุการณ์นี้
- กรณีนี้แสดงให้เห็นว่าแม้แต่บริษัทขนาดใหญ่ก็อาจปล่อยให้ ความล้มเหลวพื้นฐานในการจัดการคีย์เข้าถึง คงอยู่เป็นเวลานานได้
- อีกทั้งยังสะท้อนว่า การไม่มีระบบรับแจ้งช่องโหว่ด้านความปลอดภัย อาจทำให้การแก้ไขปัญหาล่าช้า
- การที่มีการดำเนินการก็ต่อเมื่อ TechCrunch เข้ามาเกี่ยวข้องแล้ว ยิ่งตอกย้ำ ความสำคัญของการตรวจสอบจากภายนอก
1 ความคิดเห็น
ความเห็นจาก Hacker News
TechCrunch สอบถาม Home Depot เกี่ยวกับ access token ที่รั่วไหล แต่ดูเหมือนบริษัทจะโยนเรื่องให้ฝ่ายกฎหมายแล้วเข้าสู่โหมดเงียบ
เป็นไปได้ว่าคำแถลงอย่างเป็นทางการที่จะออกมาภายหลังจะเต็มไปด้วย ถ้อยคำทางกฎหมายแบบเลี่ยงความรับผิด
มันอาจเป็นประเด็นทางกฎหมายจริง ๆ ก็ได้ และฝั่งนั้นจะมีคนที่อ่านแล้วดำเนินการได้เป็นผู้รับมือ
ก่อนหน้านี้ตอนธนาคารตัดการติดต่อกับฉันเพราะปัญหาการยืนยันตัวตน ก็เคยแก้ได้ทันทีด้วยจดหมายฉบับเดียว
แน่นอนว่าเราอยากเห็นรายงานวิเคราะห์ภายใน แต่ในโลกที่ผู้ถือหุ้นมาก่อน ทุกอย่างก็ต้องระมัดระวังเป็นธรรมดา
สัปดาห์ที่แล้วฉันเผลอทำ คีย์ API ของ OpenAI, Anthropic และ Gemini รั่ว
คีย์ถูกพิมพ์ออกมาตรง ๆ ใน log ของ Claude Code ซึ่ง Anthropic ส่งอีเมลมาแล้วปิดการใช้งานคีย์ทันที
ตรงกันข้าม OpenAI กับ Google ไม่มีการแจ้งเตือนใด ๆ
โดยเฉพาะคีย์ Gemini ของ Google แค่หาตำแหน่งก็ใช้เวลาไป 10~15 นาทีแล้ว และดูเหมือนมันยังคงเปิดใช้งานอยู่
ยิ่งยุคนี้มี vibe coding มากเท่าไร ทั้งผู้ออกคีย์และผู้ใช้ก็ยิ่งต้องใส่ใจสุขอนามัยในการจัดการคีย์มากขึ้น
ทุกวันนี้อุบัติเหตุด้านความปลอดภัยจาก brogramming ก็มีเยอะอยู่แล้ว และมันอาจเพิ่มขึ้นอีก 100 เท่าก็ได้
ถ้ามันแค่ไปค้างอยู่ใน log ของ Claude Code จริง ๆ การที่ Google รับรู้เรื่องนั้นได้ก็น่าประหลาดใจ
ฉันเองก็เคยเผลอเอา GitHub PAT ส่วนตัวขึ้นไปไว้ใน public repository มาก่อน
ทุกครั้ง GitHub จะปิดการใช้งานโทเค็นทันทีและส่งการแจ้งเตือนมา
กรณีของฉันไม่ได้เสียหายมาก แต่ระบบทำงานได้ดี
เหมือนมุก “Home Depot 2x4” ถ้าใครหยิบวัสดุไปได้ตามใจชอบตลอด 1 ปี ก็คงมีคนสร้าง ทรงกลมไม้ ไปแล้วแน่ ๆ
กำลังคิดอยู่ว่าควรจัดการ secrets management อย่างไรดี
ตอนนี้ยัง SSH เข้าไปแก้ไฟล์
.envด้วยมืออยู่.envก็เพียงพอแล้วยังไงถ้าแอปโดนเจาะ ความลับก็จะอยู่ในหน่วยความจำอยู่ดี จึงเลี่ยงการเปิดเผยไม่ได้
ถ้าทำได้ การตั้ง การจำกัดการเข้าถึงตาม IP คือแนวป้องกันที่แข็งแกร่งที่สุด
ถ้าใช้ Age เป็น backend ก็แค่เก็บ private key ระยะยาวไว้บนเซิร์ฟเวอร์เพียงดอกเดียว
มีคนถามว่า “ข้อมูลนั้นสามารถถูกใช้สร้างความเสียหายอะไรได้บ้าง?”
ถ้าใช้ GitHub ในการ deploy ก็อาจแทรกฟังก์ชันอันตรายเข้า production ได้
เพื่อทำกำไรจาก การขโมย gift card
ไม่นานมานี้ก็มีกรณีที่เจาะเข้า AWS ผ่าน GitHub ของ Salesloft แล้วขโมย OAuth token เพื่อเข้าถึงบัญชีลูกค้า Salesforce หลายร้อยราย
แยกได้ยากว่าสตริงที่ถูกเปิดเผยนั้นเป็น API key จริง หรือเป็นแค่ค่าที่สุ่มขึ้นมาเฉย ๆ
pat_,sk_ไว้หน้าคีย์คำว่า “Open Source Home Depot” ฟังดูเข้ากันอย่างประหลาด
น่าแปลกที่ GitHub หรือ OpenAI ยังไม่มีระบบ สแกน hash ของโทเค็นแบบอัตโนมัติ ที่ทำเองภายใน
ดูเหมือนจะทำได้ไม่ยากนักเพื่อความปลอดภัยของลูกค้า
มีคนเสนอว่าถ้าทำบริการสแกนที่ไม่ผูกกับแพลตฟอร์มใดแพลตฟอร์มหนึ่งก็น่าสนใจ
เมื่อก่อนถ้า Discord token รั่ว ระบบจะปิดการใช้งานทันทีและบัญชีระบบจะส่ง DM มา
ตาม เอกสารทางการ
ระบบจะตรวจสอบแพตเทิร์นของผู้ให้บริการหลักแต่ละรายโดยอัตโนมัติ และถ้าจำเป็นก็ยกเลิกโทเค็นให้อัตโนมัติ
อย่างไรก็ตาม โทเค็นที่รั่วไหลนอก GitHub นั้นตรวจจับได้ยาก
ฉันมักรายงานคีย์ที่รั่วผ่านโปรแกรม bug bounty อยู่บ่อย ๆ
น่าเสียดายที่ Home Depot ไม่มี bug bounty
แม้แต่ สแกนเนอร์ฟรีของ GitHub ก็น่าจะตรวจจับได้เพียงพอ
มีคนพูดถึงว่าด้วยข้อมูลจากระบบภายในนี้ อาจมีคนเอาไปทำเรื่องระดับ insider trading ได้เลย