Indagine del Congresso dopo la violazione dei dati di CISA su GitHub

I legislatori di entrambe le camere del Congresso stanno chiedendo risposte all'U.S. Cybersecurity & Infrastructure Security Agency (CISA) dopo che KrebsOnSecurity ha riferito questa settimana che un appaltatore di CISA ha intenzionalmente pubblicato chiavi AWS GovCloud e una vasta quantità di altri segreti dell'agenzia su un account GitHub pubblico. L'inchiesta arriva mentre CISA sta ancora lottando per contenere la violazione e invalidare le credenziali trapelate.

La scoperta della violazione

Il 18 maggio, KrebsOnSecurity ha riferito che un appaltatore di CISA con accesso amministrativo alla piattaforma di sviluppo del codice dell'agenzia aveva creato un profilo GitHub pubblico chiamato "Private-CISA" che includeva credenziali in chiaro per decine di sistemi interni di CISA. Esperti che hanno esaminato i segreti esposti hanno affermato che i log di commit per il repository del codice mostravano che l'appaltatore di CISA aveva disattivato la protezione integrata di GitHub contro la pubblicazione di credenziali sensibili nei repository pubblici.

CISA ha riconosciuto la perdita di dati ma non ha risposto alle domande sulla durata dell'esposizione dei dati. Tuttavia, esperti che hanno esaminato l'archivio Private-CISA ora defunto hanno affermato che è stato creato originariamente a novembre 2025 e che presenta un pattern coerente con un operatore individuale che utilizza il repository come blocco note di lavoro o meccanismo di sincronizzazione piuttosto che un repository di progetto curato.

Reazioni del Congresso

In una dichiarazione scritta, CISA ha affermato che "non c'è indicazione che dati sensibili siano stati compromessi a seguito dell'incidente". Tuttavia, in una lettera del 19 maggio all'allora direttore ad interim di CISA, Nick Andersen, la senatrice Maggie Hassan (D-NH) ha affermato che la perdita di credenziali solleva seri interrogativi su come possa verificarsi una simile lacuna di sicurezza nell'agenzia incaricata di aiutare a prevenire violazioni informatiche.

"Questa segnalazione solleva seri dubbi riguardo alle politiche e procedure interne di CISA in un momento di significative minacce informatiche contro le infrastrutture critiche degli Stati Uniti", ha scritto la senatrice Hassan.

La senatrice Hassan ha notato che l'incidente si è verificato sullo sfondo di gravi disordini interni a CISA, che ha perso più di un terzo del suo personale e quasi tutti i suoi dirigenti senior dopo che l'amministrazione Trump ha costretto una serie di pensionamenti anticipati, buyout e dimissioni nelle varie divisioni dell'agenzia.

Il rappresentante Bennie Thompson (D-MS), il membro di grado della Commissione per la Sicurezza Interna della Camera, ha fatto eco alle preoccupazioni della senatrice.

"Siamo preoccupati che questo incidente rifletta una diminuita cultura della sicurezza e/o un'incapacità di CISA di gestire adeguatamente il supporto contrattuale", ha scritto Thompson in una lettera del 19 maggio al direttore ad interim di CISA, co-firmata dalla rappresentante Delia Ramirez (D-Ill), la membro di grado del Sottocomitato per la Sicurezza Informatica e la Protezione delle Infrastrutture. "Non è un segreto che i nostri avversari, come Cina, Russia e Iran, cercano di ottenere accesso e persistenza nelle reti federali. I file contenuti nel repository 'Private-CISA' fornivano le informazioni, l'accesso e la roadmap per fare proprio questo."

Le conseguenze della violazione

KrebsOnSecurity ha appreso che più di una settimana dopo che CISA è stata notificata per la prima volta della perdita di dati da parte dell'azienda di sicurezza GitGuardian, l'agenzia sta ancora lavorando per invalidare e sostituire molte delle chiavi e dei segreti esposti.

Il 20 maggio, KrebsOnSecurity ha sentito parlare di Dylan Ayrey, il creatore di TruffleHog, uno strumento open-source per scoprire chiavi private e altri segreti sepolti nel codice ospitato su GitHub e altre piattaforme pubbliche. Ayrey ha affermato che CISA non aveva ancora invalidato una chiave privata RSA esposta nel repository Private-CISA che concedeva accesso a un'app GitHub appartenente all'account aziendale di CISA e installata nell'organizzazione GitHub CISA-IT con accesso completo a tutti i repository di codice.

"Un attaccante con questa chiave può leggere il codice sorgente di ogni repository nell'organizzazione CISA-IT, inclusi i repository privati, registrare runner self-hosted rogue per hijackare le pipeline CI/CD e accedere ai segreti del repository, e modificare le impostazioni di amministrazione del repository, incluse le regole di protezione dei rami, i webhook e le chiavi di distribuzione", ha detto Ayrey a KrebsOnSecurity. CI/CD sta per Continuous Integration e Continuous Delivery e si riferisce a un insieme di pratiche utilizzate per automatizzare la costruzione, il test e il deployment del software.

KrebsOnSecurity ha notificato CISA dei risultati di Ayrey il 20 maggio. Ayrey ha affermato che CISA sembra aver invalidato la chiave privata RSA esposta esposta dopo quella notifica. Tuttavia, ha rilevato che CISA non ha ancora ruotato le credenziali trapelate legate ad altre tecnologie critiche di sicurezza che sono distribuite nell'intero portafoglio tecnologico dell'agenzia.

CISA ha risposto con una breve dichiarazione scritta in risposta alle domande sui risultati di Ayrey, affermando che "CISA sta rispondendo attivamente e coordinandosi con le parti appropriate e i fornitori per garantire che eventuali credenziali trapelate identificate vengano ruotate e rese invalide e continuerà a prendere le misure appropriate per proteggere la sicurezza dei nostri sistemi".

Le sfide della sicurezza informatica

James Wilson, il redattore di tecnologia aziendale per il podcast di sicurezza Risky Business, ha affermato che le organizzazioni che utilizzano GitHub per gestire progetti di codice possono impostare politiche dall'alto verso il basso che impediscono agli dipendenti di disattivare le protezioni di GitHub contro la pubblicazione di chiavi e credenziali segrete. Tuttavia, il co-conduttore Adam Boileau ha affermato che non è chiaro se alcuna tecnologia possa impedire ai dipendenti di aprire i propri account GitHub personali e utilizzarli per memorizzare informazioni sensibili e proprietarie.

"In definitiva, questa è una cosa che non puoi risolvere con un controllo tecnico", ha detto Boileau nel [podcast di questa settimana](https://risky.biz/RB838/). "Questo è un problema umano in cui hai assunto un appaltatore per svolgere questo lavoro e ha deciso di propria iniziativa di utilizzare GitHub per sincronizzare contenuti da una macchina di lavoro a una macchina domestica. Non so quali controlli tecnici potresti mettere in atto dato che questo viene fatto presumibilmente al di fuori di qualsiasi cosa CISA gestisse o avesse anche visibilità su."

L'aggiornamento del 3:05 p.m. ET ha aggiunto una dichiarazione di CISA. È stato corretto un errore nella storia (Truffle Security ha affermato di aver trovato il repository che ha acquisito alcuni dei suoi segreti più sensibili alla fine di aprile 2026, non 2025).

GitHub Enterprise supporta l'iniezione di intestazioni HTTP del tuo ID organizzativo GHE in un proxy aziendale (o governativo) per imporre/impedire agli utenti Enterprise GitHub personali o non gestiti di esfiltrare o immettere qualsiasi codice/file/documenti dall'ambiente aziendale. Questo fa parte della guida alla rafforzamento di GHE sul blocco degli account personali (restricting-access-to-githubcom-using-a-corporate-proxy).

Questo indica che CISA non ha rafforzato il proprio org GHE o indica che i contractor di CISA non sono limitati da cose così semplici come i client di accesso privato o i proxy?

Chi ha messo i Keystone Cops al comando. JFC.

Voti per un clown. Ottieni quello che ti meriti.

Questo è vero. Proprio come l'ultimo.

Questo è chiaro (rima con 'ha carpito').

Qualcuno ha verificato se le credenziali trapelate erano ancora valide?

Alcuni utenti di Reddit hanno notato che l'account GitHub di CISA aveva diversi repository privati pubblici, che sono stati ora rimossi.

Una domanda che molti si stanno ponendo è se CISA abbia avuto un problema di sicurezza informatica o se si sia trattato di un errore umano.

Un utente di Reddit ha affermato di aver trovato un file di configurazione di AWS nel repository che conteneva le credenziali di accesso per un bucket S3. L'utente ha affermato di essere stato in grado di accedere al bucket e di aver trovato diversi file sensibili.

CISA ha rilasciato una dichiarazione affermando che stanno indagando sulla violazione e che hanno preso misure per mitigare eventuali danni.

La violazione dei dati di CISA su GitHub ha sollevato importanti interrogativi sulla sicurezza informatica e sulla gestione dei dati sensibili. Mentre il Congresso continua la sua indagine, è chiaro che sono necessarie misure per prevenire violazioni simili in futuro. La comunità della sicurezza informatica sta monitorando attentamente la situazione e fornendo consigli su come proteggere meglio i dati sensibili.