7,25 milyonun üzerindekamu Gitee reposunun taranması 26.400 geçerli kimlik bilgisini doğruladı

Tek kişilik bir araştırma projesi, Çin'in en büyük yerli Git barındırma platformu Gitee'nin tüm kamu yüzeyinde 26.400 geçerli kimlik bilgisini doğruladı. Bağımsız güvenlik araştırmacısı Ben Zimmermann, MongoDB'nin Kingfisher ekibiyle çalışarak bulguları, 7.256.531 kamu repository'yi iki gizli bilgi tespit aracıyla paralel olarak taradıktan sonra MongoDB'nin şirket blogunda konuk yazı olarak yayımladı.

Ele geçirilenler arasında büyük bir kurumsal AI platformu için aktif bir organizasyon yöneticisi kimlik bilgisi ve binlerce çalışan bulut sağlayıcı erişim anahtarı vardı. Her iki tarayıcı da her adayı saymadan önce sağlayıcının API'sine karşı doğruladığından, veri setindeki her şey yalnızca bir desenle eşleşmek yerine tarama sırasında kullanılabilir olduğu teyit edilmişti.

Gitee neden açık bir hedefti

2013'te OSChina tarafından başlatılan Gitee, Çin Sanayi ve Bilgi Teknolojileri Bakanlığı tarafından ülkenin ulusal açık kaynak kod barındırma platformu olarak seçildi. Blog yazısına göre, kimlik bilgisi sızıntısını yapışkan hale getiren üç özelliği bir araya getiriyor: Git tabanlı olduğu için eski commit'lerde gömülü gizli bilgiler süresiz olarak kalıcı; milyonlarca kamu repository'yi aktif commit trafiğiyle barındırıyor; ve platform sağlayıcılarının GitHub'da standart hale getirdiği gizli bilgi tarama ortaklıklarının kamuya açık bir eşine sahip değil.

2021'de Gitee'deki kimlik bilgisi maruziyetini inceleme girişimi, API'ler ölçeklenemeyecek kadar sınırlı olduğu için reportedly vazgeçti. Zimmermann bunu birkaç yüzeyi birleştirerek aştı.

7,25 milyon repository'nin numaralandırılması

Gitee'nin kamu API'si sayfalandırılmış bir proje listesi sunmuyor ve sitedeki kod arama yıllar önce emekliye ayrılmış görünüyor. Zimmermann bunun yerine, ölçeklenen tek REST arama uç noktasını sorgulayarak, aaa'dan zzz'ye kadar üç karakterli önek sorguları göndererek ve sonuçları Explore akışından, takip listelerinden ve yıldız veren kullanıcıların sayfalarından toplanan kullanıcı adlarıyla destekleyerek 1.704.759 kullanıcı adından oluşan bir külliyat oluşturdu.

Ardından her kullanıcının repository ve yıldızladığı proje sayfalarını web sitesinin kendisinden kazıdı. Bu sosyal grafın dışındaki repository'lere ulaşmak için Gitee'nin arama widget'ının arkasındaki iç Elasticsearch uç noktasını kullandı. Bu uç nokta herhangi bir sorguyu 200 sonuçta sessizce kesiyor, bu yüzden sınıra takılan sorguları yanıtların zaten döndürdüğü dil ve lisans toplama kovaları boyunca bölerek, her dal sığa sığana kadar daha derin öneklere doğru özyineledi. Yinelenenlerin ayıklanmasından sonra bu, 7.256.531 benzersiz kamu repository ortaya çıkardı.

Tarama hattı

Tarama, sunucusuz bir hesaplama platformu olan Modal üzerinde, yaklaşık 350 eşzamanlı container'ı süren tek bir Python betiği olarak çalıştı. Kürpüs 50'şer yaklaşık 150.000 repository'lik 50 gruba bölündi; daha küçük gruplar tercih edildi çünkü ölçekte daha güvenliydiler ve kesintilerden sonra devam etmek daha kolaydı. Her container bir repository'yi SSH üzerinden bare-clone ile klonladı ve aynı disk üstü kopyaya karşı TruffleHog ile Kingfisher'ı çalıştırdı.

Toplam duvar süresi yaklaşık bir aylık kesintisiz yürütmedy. Klon süreleri baskın çıktı, çünkü Gitee'nin sunucuları Çin'de ve Pasifik ötesi SSH klonları eşdeğer GitHub klonlarından belirgin biçimde daha yavaş. Toplam maliyet 3.097,64 dolar oldu ve Modal'ın 5.000 dolarlık hesaplama kredisi sponsorluğuyla karşılandı. Zimmermann aynı mimarinin, klon URL'sini değiştirmekten fazlasını gerektirmeden çoğu Git sunucusunda işe yaradığını ve yaklaşımın daha küçük bir sürümünü daha önceki bir Algolia DocSearch yönetici anahtarları soruşturmasında kullandığını belirtiyor.

Tamamlayıcı tarayıcılar, tamamlayıcı kör noktalar

İki araç çalıştırmak önemliydi: tarayıcılardan herhangi biri tek başına yalnızca kimlik bilgilerinin yaklaşık yarısını ortaya çıkarabilirdi. Kapsam büyük ölçüde tamamlayıcıydı. TruffleHog, Kingfisher'ın 993'üne karşılık 9.428 Alibaba Cloud anahtarı bulurken, Kingfisher AI servislerinde baskındı: TruffleHog'ın 230'una karşılık 2.940 DeepSeek kimlik bilgisi, 150'ye karşılık 1.198 OpenAI anahtarı, 1'e karşılık 154 HuggingFace token'ı ve TruffleHog'ın hiç dedektörü olmayan 1.489 Zhipu kimlik bilgisi.

Alibaba Cloud AccessKey çiftleri en yaygın tek sızıntıydı ve taranan yaklaşık her 766 repository'den birinde göründü; ardından Stripe, Slack, MySQL, Algolia, OpenRouter, PostHog, OpenWeather ve diğerlerini kapsayan uzun bir kuyruk geldi.

Maruziyet arşivsel değil güncel. Doğrulanmış kimlik bilgilerinin büyük çoğunluğu son iki yıl içinde commit'lendi ve yalnızca 2025, veri setinin neredeyse yarısı olan 12.242'sini karşılıyor. Çoğu qq.com, 163.com ve gmail.com gibi kişisel e-posta alan adlarından commit'lendi, bu da şirket düzeyinde atıfı ölçekte imkânsız kılıyor; ancak yazı, Oracle, Apple, Meta ve Anthropic'ten küçük kurumsal izlerin yanı sıra büyük Çin teknoloji şirketlerinden ve akademik kurumlardan da bahsediyor.

Neden önemli

Doğrulanmış-canlı, şu anda istismar edilebilir anlamına geliyor: bu anahtarlar bulut hesaplarını, AI servislerini ve dahili araçları onları ilk bulan herkes için açıyor ve bu araştırma, onları bulmanın yaklaşık 3.100 dolara ve bir aylık hesaplamaya mal olduğunu gösteriyor. DeepSeek ve OpenAI'dan Zhipu ve HuggingFace'e kadar AI kimlik bilgilerinin öne çıkışı, model API anahtarlarının sızan gizli bilgilerin en yeni sınıfı haline ne kadar hızlı geldiğini yansıtıyor. Gitee'nin GitHub'unkine eşdeğer bir sağlayıcı tarafından yürütülen tarama programı olmadığı için, bir anahtar kamu bir repoya düştüğünde maintainers'ları uyaran otomatik bir güvence yok; en yakın karşılaştırılabilir veri seti olan TruffleSecurity'ın 5,6 milyon kamu GitLab repository taraması, korumanın Git sunucuları arasında ne kadar düzensiz kaldığını gösteriyor. Kamu Gitee geçmişinde anahtarları olan herkes için pratik yanıt, önce rotasyon, sonra geçmiş temizliği.