¿Están seguros los secretos de GitHub Actions? La exposición de PAT pone en riesgo la nube.

Noticias de IA Creator's Path: ¿Es realmente seguro el secreto de GitHub Actions? Explicamos el mecanismo por el cual la exposición de PAT provoca intrusiones en la nube y las contramedidas que puedes tomar ahora mismo. #GitHubActions #SeguridadEnLaNube #SeguridadCIS

¡Una breve explicación en vídeo de esta entrada del blog!

Esta publicación de blog se explica en un vídeo fácil de entender.
Incluso si no tienes tiempo para leer el texto, puedes comprender rápidamente los puntos principales viendo el video. ¡Échale un vistazo!

Si este video te resultó útil, sigue nuestro canal de YouTube "El camino de un creador de IA" para obtener noticias diarias sobre IA.
Suscríbete aquí:
https://www.youtube.com/@AIDoshi

Jon y Lila comparten sus perspectivas únicas en esta conversación en inglés 👉 [Lea el diálogo en inglés]

Ingenieros, ¿se han preguntado alguna vez si los secretos de GitHub Actions son realmente "secretos"? Profundizaremos en la realidad: las revelaciones de PAT en esta ocasión representan una amenaza directa para los entornos de nube, desde su funcionamiento hasta cómo pueden protegerlos.

Si usas GitHub Actions a diario en tu entorno de desarrollo, la gestión de secretos es esencial para que tu flujo de trabajo de CI/CD funcione correctamente. Pero ¿qué ocurre si esos secretos se utilizan indebidamente y se infiltran en tu entorno de nube? Este artículo, basado en el último informe de Wiz, analiza los mecanismos técnicos de esta amenaza y ofrece defensas de implementación inmediata. Después de leerlo, comprenderás cómo reforzar la seguridad de tus proyectos.

GitHub Actions: ¡Secretos al descubierto! PAT abre la puerta a intrusiones en la nube y contramedidas.

La investigación para este artículo incluye:GensparkUtilizamos herramientas de búsqueda de IA para recopilar rápidamente información de seguridad compleja, eliminando la necesidad de investigación.

Antecedentes y problemas

GitHub Actions es una herramienta potente que muchos equipos de desarrollo utilizan para automatizar sus pipelines de CI/CD. Sin embargo, un informe reciente de Wiz ha revelado un aumento en el uso indebido de los tokens de acceso personal (PAT) de GitHub, lo que expone secretos dentro de las acciones y podría facilitar la vulneración de entornos de nube conectados.

Un problema tradicional es que, si bien los PAT son tokens poderosos que otorgan acceso a los repositorios, si se filtran, los atacantes pueden manipular el flujo de trabajo de Acciones dentro del repositorio, lo que crea el riesgo de robar claves de acceso a la nube almacenadas como variables de entorno y acceder directamente a recursos de la nube como AWS y Azure.

Como ingeniero, creo que la raíz de este problema reside en la facilidad con la que se otorgan los permisos PAT. Por ejemplo, si se roba un PAT con permisos de lectura/escritura mediante phishing o malware, un atacante puede manipular el flujo de trabajo e inyectar un script para extraer secretos. Hasta ahora, la gestión de secretos se ha basado en las funciones integradas de GitHub, pero este vector de ataque a menudo no se ha considerado.

Esta deuda de seguridad ralentiza el desarrollo. Si se produce una vulneración, las tareas de recuperación requieren un tiempo considerable y perjudican la credibilidad del proyecto. Al explicar estas amenazas a su equipo en la documentación,GamaHerramientas como esta son útiles, ya que permiten generar diapositivas visuales utilizando únicamente entrada de texto, ahorrándole mucho tiempo.

Explicación de la tecnología y el contenido

El informe de Wiz detalla un flujo de ataque en el que los actores de amenazas explotan las PAT de GitHub para robar secretos de Acciones. En primer lugar, una PAT es un token que otorga acceso a la API de GitHub. Si bien el alcance puede ser detallado, a menudo otorga amplios privilegios. Las PAT expuestas se obtienen fácilmente mediante phishing o escaneo de repositorios públicos.

El núcleo del ataque es usar PAT para acceder al repositorio y activar un flujo de trabajo de acciones, por ejemplo, inyectando un script que ejecuta un flujo de trabajo en un evento pull_request, lee secretos como variables de entorno y los envía a un servidor externo, que luego filtra las claves de acceso del proveedor de la nube y permite comprometer máquinas virtuales y bases de datos.

En cuanto a los detalles técnicos, los secretos de GitHub Actions se almacenan cifrados, pero están disponibles en texto plano durante la ejecución del flujo de trabajo. Los atacantes pueden aprovechar esto para permitir ataques entre inquilinos. La investigación de Wiz ha identificado estas vulnerabilidades en miles de repositorios públicos.

Además, otras fuentes de noticias han informado sobre riesgos similares, como imágenes de Docker Hub que exponen secretos y ataques a la cadena de suministro como el de Shai Hulud que apunta a los flujos de trabajo de GitHub Actions, que se basan en PAT filtrados para permitir la extracción de secretos y el movimiento lateral a la nube.

▼ Diferencias entre los métodos tradicionales de gestión de secretos y las nuevas contramedidas de amenazas en GitHub Actions

Comparar artículos	Gestión tradicional de secretos	Contramedidas contra esta amenaza
Alcance del permiso concedido	Permisos PAT amplios (lectura/escritura en general)	Principio de mínimo privilegio (PAT y OIDC de grano fino)
Cómo protegemos los secretos	Cifrado exclusivo de secretos de GitHub	Rotación, registro de auditoría, integración con gestores externos
Dificultad para detectar ataques	Bajo (difícil de detectar debido a un registro insuficiente)	Alta (detección en tiempo real mediante herramientas de monitoreo del flujo de trabajo)
Seguridad de la integración en la nube	Alto riesgo de fugas debido a la dependencia de la clave estática	Credenciales dinámicas (federación OIDC)

Como se puede observar en esta tabla, el enfoque tradicional no presupone la filtración de la PAT, lo que resulta en defensas débiles. Por otro lado, el nuevo enfoque adopta un modelo de confianza cero, lo que aumenta la resistencia a los ataques. Como ejemplo de implementación, la integración de OIDC con AWS IAM permite emitir tokens a corto plazo y eliminar secretos estáticos. Esto minimiza el impacto de la exposición de la PAT.

Impacto y casos de uso

El impacto de esta amenaza cambia radicalmente la postura de seguridad de los equipos de desarrollo. Como ingenieros, la exposición a PAT les da acceso al plano de control de la nube, lo que aumenta exponencialmente el riesgo de filtraciones de datos y ataques de ransomware. Wiz informa que ataques reales han provocado el robo de secretos y el movimiento lateral entre nubes.

Un ejemplo de su uso es un equipo de DevOps en una gran empresa. Por ejemplo, al implementar en AWS mediante GitHub Actions, la implementación de OIDC permite la autenticación sin necesidad de PAT. Como resultado, se ha mejorado el rendimiento, se ha reducido el riesgo y la velocidad de CI/CD ha aumentado un 20 % en algunos casos.

Otro ejemplo es un proyecto de código abierto donde hay un alto riesgo de bifurcar un repositorio público, por lo que restringir el evento pull_request_target y bloquear el acceso secreto puede evitar solicitudes de colaboración maliciosas de los contribuyentes y mantener la integridad del proyecto.

El formato de vídeo es una forma eficaz de compartir estos casos internamente.Revid.aiCon , puedes convertir rápidamente tus publicaciones de blog en vídeos que tu equipo pueda comprender mejor.

Guía de acción

Para combatir esta amenaza, aquí hay algunos pasos que puede implementar de inmediato e incorporar a su flujo de trabajo como tecnólogo para mejorar su seguridad.

A medida que aprenda estos pasos,NolangHerramientas como esta pueden ayudar, proporcionando una forma interactiva de mejorar su conocimiento de programación y agilizar la implementación de la seguridad.

Perspectivas futuras y riesgos

En el futuro, la seguridad de GitHub Actions evolucionará con la detección de amenazas basada en IA. Como señalan CIRT como Wiz, la monitorización automatizada del flujo de trabajo se convertirá en la norma, y ​​podríamos presenciar la aparición de la rotación automatizada de PAT y la autenticación basada en blockchain. Esto mejorará la seguridad del desarrollo nativo de la nube y promoverá entornos de confianza cero.

Sin embargo, no se pueden ignorar los riesgos. Una mayor exposición a PAT podría fomentar ataques a la cadena de suministro, haciendo que los flujos de trabajo sin parches sean más vulnerables. También existe la preocupación por las fallas de seguridad y el aumento de los costos de implementación. Asimismo, existe el riesgo de que restricciones excesivas reduzcan la productividad del desarrollo. Se requiere un enfoque equilibrado.

Resumen

Si bien la exposición de secretos de GitHub Actions es una amenaza grave que se origina en PAT, se puede prevenir con las medidas adecuadas. Utilice los mecanismos y los pasos de implementación descritos en este artículo para proteger sus proyectos. Reforzar la seguridad generará mejoras de productividad a largo plazo.

¿Quieres automatizar tus tareas diarias?hacer.comRecomendamos esta aplicación. Puedes lograr una mayor eficiencia vinculando aplicaciones.

Enlaces de referencia y fuentes de información

• Los secretos de acción de GitHub ya no son secretos: los PAT expuestos ahora son una ruta directa a los entornos de nube
• Documentación oficial de GitHub: Uso seguro de GitHub Actions
• Blog de Wiz: Ataques de código a la nube: PAT de Github al plano de control de la nube
• Orca Security: Riesgos de seguridad de las acciones de GitHub