[[{"content_id":436393,"content_number":0,"portal_id":184,"lang_id":"fa","content_title":"فاش شدن توکن امنیتی Slack در Github","content_rtitr":"","content_short_title":null,"content_summary":"","content_summary_fill":0,"content_body":"توسعه‌دهندگان ندانسته اطلاعات حساس خود و سازمانشان را با استفاده از توکن‌های دسترسی Slack به Github در معرض دید قرار می‌دهند.\r\n\r\n\r\n\r\nبه گزارش واحد امنیت سایبربان؛Slack که یک ابزار همکاری تیمی مبتنی بر فضای ابر است، به توسعه‌دهندگان اجازه می‌دهد تا بات‌هایی بسازند و برخی از کارهای خود را به‌صورت خودکار انجام دهند. برای مثال، بات‌هایی برای مدیریت پروژه، انجام کارهای خارج از دفتر، بات‌های بازی و حتی بات‌هایی برای یادآوری ورزش کردن نیز وجود دارند. \r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\nدر بسیاری از موارد، این بات‌ها به‌عنوان پروژه‌های تفریح و سرگرمی ایجاد می‌شوند و توسعه‌دهندگان متوجه نمی‌شوند که این کدها شامل توکن احراز هویت برای حساب‌های Slack هستند. با به اشتراک گذاشتن پروژه‌های خود در Github، توسعه‌دهندگان به دیگران اجازه می‌دهند تا این توکن‌ها را رونوشت کرده و از آن‌ها برای دسترسی به فایل‌ها و گفتگوها استفاده کنند. \r\n\r\nیک جستجو در Github که به‌وسیله شرکت امنیتی Detectify  انجام‌شده است، ۱۵۰۰ توکن را یافته که می‌توان از آن‎ها به‌صورت بالقوه برای دسترسی به داده‌های حساس استفاده کرد که این داده‌های حساس  شامل توکن‌های خصوصی xoxp و توکن‌های بات‌های سفارشی xoxb است. \r\n\r\nدریکی از پست‌های وبلاگ این شرکت آمده است: «این توکن‌ها متعلق به کاربران مختلف و شرکت‌های متعددی هستند؛ در میان آن‌ها می‌توان شرکت‌هایی در زمره ۵۰۰ شرکت برتر فوربز Forbes، ارائه‌دهندگان خدمات پرداخت، خدمات دهندگان متعدد اینترنتی و ارائه‌دهندگان خدمات پزشکی را مشاهده کرد. همچین سازمان‌های تبلیغاتی مشهور که می‌خواهند نشان دهند در داخل چه‌کاری انجام می‌دهند، کلاس‌های دانشگاهی که برخی از آن‎ها بهترین آموزشگاه‌های جهان هستند. روزنامه‌هایی که بات‌های خود را به‌عنوان بخشی از فعالیت خود منتشر می‌کنند نیز در زمره آن‎ها هستند و این فهرست می‌تواند فهرستی طولانی باشد». \r\n\r\nبر اساس گفته‌های محققان،‌ توکن‌هایی که آن‎ها در Github پیداکرده‌اند دسترسی به اعتبارنامه‌های پایگاه‌های‌ داده، ورود به سرویس‌های داخلی و پیام‌های خصوصی را میسر می‌سازند. \r\n\r\nکارشناسان هشدار می‌دهند: «با استفاده از این توکن‌ها، ممکن است بتوان فعالیت‌های یک شرکت را شنود کرد. افرادی از خارج می‌توانند به‌سادگی به مکالمات داخلی شرکت دسترسی داشته باشند، فایل‌ها و پیام‌های مستقیم و حتی رمزهای عبور را -درصورتی‌که بر روی Slack به اشتراک گذاشته‌شده باشند- ببینند». \r\n\r\nپس‌ازاینکه در اواخر ماه مارس Detectify به آن‌ها اعلام کرد، Slack توکن‌های به خطر افتاده را باطل کرد و به تیم‌ها و کاربرانی که در معرض خطر بودند اطلاع داد. این شرکت می‌گوید که به دنبال توکن‌هایی است که در معرض عموم قرارگرفته‌اند و به همه مشتریانی که درخطر قرار دارند اطلاع خواهد داد. \r\n\r\nمحققان اشاره‌کرده‌اند که ایجاد یک توکن که بتواند دسترسی کامل را مهیا کند، بسیار آسان است، اما آنچه دشوار است ساخت توکنی است که بتوان آن را محدود کرد. هنگامی‌که توکن‌های خصوصی ایجاد می‌شوند، Slack به کاربران اطلاع می‌دهد که آن‎ها باید توکن خود به‌عنوان یک رمز عبور تلقی کنند. بااین‌حال،‌ بسیاری از کاربرانی که توسط Detectify خبردار شدند، گفته‌اند که آن‌ها چیزی در مورد خطر مربوط به نشت اطلاعات توکن‌ها نمی‌دانسته‌اند. \r\n\r\nاین اولین باری نیست که داده‌های حساس در Github پیداشده‌اند. کمی پس‌ازاینکه جستجوی پیشرفته در سال ۲۰۱۳ ارائه شد، کارشناسان هشدار دادند که این قابلیت، کار را برای برملا کردن رمزهای عبور، کلیدهای رمزگشایی و سایر اطلاعات حساس دیگر در کدهای متن‎باز آسان می‌کند. \r\n\r\nیک سال بعد، محققان گزارش داده‌اند که مهاجمان به گواهی‌نامه‌های AWS موجود در Github برای استفاده در استخراج بیت‌کوین دستبرد زده‌اند. \r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\nمنبع: \r\n\r\n\r\nnews.asis.io","content_html":"

توسعه‌دهندگان ندانسته اطلاعات حساس خود و سازمانشان را با استفاده از توکن‌های دسترسی Slack به Github در معرض دید قرار می‌دهند.<\/h1>\n\n
\n
\n
به گزارش واحد امنیت سایبربان؛<\/span>Slack<\/span> که یک ابزار همکاری تیمی مبتنی بر فضای ابر است، به توسعه‌دهندگان اجازه می‌دهد تا بات‌هایی بسازند و برخی از کارهای خود را به‌صورت خودکار انجام دهند. برای مثال، بات‌هایی برای مدیریت پروژه، انجام کارهای خارج از دفتر، بات‌های بازی و حتی بات‌هایی برای یادآوری ورزش کردن نیز وجود دارند. <\/span><\/div>\n<\/div>\n<\/div>\n\n
\n
\n
\n
\n

در بسیاری از موارد، این بات‌ها به‌عنوان پروژه‌های تفریح و سرگرمی ایجاد می‌شوند و توسعه‌دهندگان متوجه نمی‌شوند که این کدها شامل توکن احراز هویت برای حساب‌های Slack<\/span> هستند. با به اشتراک گذاشتن پروژه‌های خود در Github<\/span>، توسعه‌دهندگان به دیگران اجازه می‌دهند تا این توکن‌ها را رونوشت کرده و از آن‌ها برای دسترسی به فایل‌ها و گفتگوها استفاده کنند. <\/p>\n\n

یک جستجو در Github<\/span> که به‌وسیله شرکت امنیتی Detectify<\/span>  انجام‌شده است، ۱۵۰۰ توکن را یافته که می‌توان از آن‎<\/span>ها به‌صورت بالقوه برای دسترسی به داده‌های حساس استفاده کرد که این داده‌های حساس  شامل توکن‌های خصوصی xoxp<\/span> و توکن‌های بات‌های سفارشی xoxb<\/span> است. <\/p>\n\n

دریکی از پست‌های وبلاگ این شرکت آمده است: «این توکن‌ها متعلق به کاربران مختلف و شرکت‌های متعددی هستند؛ در میان آن‌ها می‌توان شرکت‌هایی در زمره ۵۰۰ شرکت برتر فوربز Forbes<\/span>، ارائه‌دهندگان خدمات پرداخت، خدمات دهندگان متعدد اینترنتی و ارائه‌دهندگان خدمات پزشکی را مشاهده کرد. همچین سازمان‌های تبلیغاتی مشهور که می‌خواهند نشان دهند در داخل چه‌کاری انجام می‌دهند، کلاس‌های دانشگاهی که برخی از آن‎<\/span>ها بهترین آموزشگاه‌های جهان هستند. روزنامه‌هایی که بات‌های خود را به‌عنوان بخشی از فعالیت خود منتشر می‌کنند نیز در زمره آن‎<\/span>ها هستند و این فهرست می‌تواند فهرستی طولانی باشد». <\/p>\n\n

بر اساس گفته‌های محققان،‌ توکن‌هایی که آن‎<\/span>ها در Github<\/span> پیداکرده‌اند دسترسی به اعتبارنامه‌های پایگاه‌های‌ داده، ورود به سرویس‌های داخلی و پیام‌های خصوصی را میسر می‌سازند. <\/p>\n\n

کارشناسان هشدار می‌دهند: «با استفاده از این توکن‌ها، ممکن است بتوان فعالیت‌های یک شرکت را شنود کرد. افرادی از خارج می‌توانند به‌سادگی به مکالمات داخلی شرکت دسترسی داشته باشند، فایل‌ها و پیام‌های مستقیم و حتی رمزهای عبور را -درصورتی‌که بر روی Slack<\/span> به اشتراک گذاشته‌شده باشند- ببینند». <\/p>\n\n

پس‌ازاینکه در اواخر ماه مارس Detectify<\/span> به آن‌ها اعلام کرد، Slack<\/span> توکن‌های به خطر افتاده را باطل کرد و به تیم‌ها و کاربرانی که در معرض خطر بودند اطلاع داد. این شرکت می‌گوید که به دنبال توکن‌هایی است که در معرض عموم قرارگرفته‌اند و به همه مشتریانی که درخطر قرار دارند اطلاع خواهد داد. <\/p>\n\n

محققان اشاره‌کرده‌اند که ایجاد یک توکن که بتواند دسترسی کامل را مهیا کند، بسیار آسان است، اما آنچه دشوار است ساخت توکنی است که بتوان آن را محدود کرد. هنگامی‌که توکن‌های خصوصی ایجاد می‌شوند، Slack<\/span> به کاربران اطلاع می‌دهد که آن‎<\/span>ها باید توکن خود به‌عنوان یک رمز عبور تلقی کنند. بااین‌حال،‌ بسیاری از کاربرانی که توسط Detectify<\/span> خبردار شدند، گفته‌اند که آن‌ها چیزی در مورد خطر مربوط به نشت اطلاعات توکن‌ها نمی‌دانسته‌اند. <\/p>\n\n

این اولین باری نیست که داده‌های حساس در Github<\/span> پیداشده‌اند. کمی پس‌ازاینکه جستجوی پیشرفته در سال ۲۰۱۳ ارائه شد، کارشناسان هشدار دادند که این قابلیت، کار را برای برملا کردن رمزهای عبور، کلیدهای رمزگشایی و سایر اطلاعات حساس دیگر در کدهای متن‎<\/span>باز آسان می‌کند. <\/p>\n\n

یک سال بعد، محققان گزارش داده‌اند که مهاجمان به گواهی‌نامه‌های AWS<\/span> موجود در Github<\/span> برای استفاده در استخراج بیت‌کوین دستبرد زده‌اند. <\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n

\n
\n
منبع: <\/div>\n\n
\n
news.asis.io<\/div>\n<\/div>\n<\/div>\n<\/div>","content_source":"","content_url":"","content_date_start":"2016-05-04 11:26:23","content_date_event":"2016-05-04 11:26:23","content_date_event_start":null,"content_date_event_end":null,"content_show_title_slider":1,"content_date_last_edit":"2016-05-04 11:28:23","content_date_register":"2016-05-04 11:28:23","content_columns":0,"content_show_img":1,"content_show_details":0,"content_show_related_img":0,"content_show_slider":1,"content_comment":1,"content_score":0,"tag_id":0,"score_average":null,"score_count":null,"score_date_last":null,"uid":15356,"eid":0,"attach_title":null,"attaches":[{"sizes":{"150":".\/cache\/184\/attach\/201605\/37965_3839162292_150_104.webp","300":".\/cache\/184\/attach\/201605\/37965_3839162292_260_180.webp","400":".\/cache\/184\/attach\/201605\/37965_3839162292_260_180.webp","600":".\/cache\/184\/attach\/201605\/37965_3839162292_260_180.webp","900":".\/cache\/184\/attach\/201605\/37965_3839162292_260_180.webp","1200":".\/cache\/184\/attach\/201605\/37965_3839162292_260_180.webp"},"ext":"png","file_media":1,"token":3839162292,"files":{"original":{"url":".\/file\/184\/attach\/201605\/37965_3839162292.png","width":260,"height":180,"size":0}}}]}]]