Code-Hoster: Github veröffentlicht privaten SSH-Schlüssel

Millionen von Entwicklern könnten bald MITM-Angriffen ausgesetzt sein, denn Github muss kurzfristig seinen SSH-Host-Key austauschen.

Artikel veröffentlicht am 24. März 2023, 11:35 Uhr, Sebastian Grüner

Github musste seinen SSH-Host-Key auswechseln. (Bild: Pixabay)

Der zu Microsoft gehörende Code-Hoster Github berichtet in seinem Blog von einem folgenschweren Versehen: Demnach war der private RSA-Host-Schlüssel für SSH-Operation für Github.com in einem öffentlichen Repository einsehbar. Wie lange der Schlüssel öffentlich einsehbar war, sagt Github nicht. Als unmittelbare Sicherheitsmaßnahme änderte Github den Schlüssel nun – "vorsichtshalber", wie das Unternehmen zurückhaltend formulierte.

Zum Authentifizieren der Git-Operationen bei Github können Entwickler entweder ihre Zugangsdaten aus Login und Passwort verwenden oder SSH-Schlüssel. Die Authentifizierung der Github-Server geschieht dabei über den Host-Key der SSH-Verbindung, dem bei der initialen Verbindung vertraut werden muss.

Mit der Veröffentlichung des privaten Schlüssels von Github könnten Angreifer die Server des Dienstes über einen Man-in-the-Middle-Angriff (MITM) imitieren und so etwa Zugriff auf nicht öffentlichen Code erlangen. Der nun erfolgte Wechsel des Schlüssels auf Seiten von Github führt ebenfalls zur Möglichkeit eines MITM-Angriffs. Immerhin müssen Entwickler bei der erneuten Verbindung einen neuen Host-Key akzeptieren. Wird dieser nicht mit dem vom Github veröffentlichten Fingerabdruck abgeglichen, ermöglicht das den Angriff.

Betroffen ist ausschließlich der RSA-Schlüssel. Github stellt eine Anleitung bereit, wie der alte Host-Schlüssel, der als kompromittiert gelten muss, entfernt und durch den neuen ersetzt werden kann. Setzen Nutzer auf die anderen Verfahren, Ed25519 oder ECDSA, ist nichts zu tun.

Der Autor meint dazu:

Die Veröffentlichung des privaten Schlüssels durch Github ist peinlich und lässt die von dem Dienst selbst angebotenen Sicherheitsmaßnahmen zum Secret-Scanning in einem schlechten Licht erscheinen. Denn entweder werden dabei keine SSH-Schlüssel erkannt oder Github selbst nutzt die Push-Protection nicht, die ein versehentliches Veröffentlichen noch vor dem Hochladen verhindern soll. Das dürfte auch den Verantwortlichen klar sein, die sich deshalb mit Details zu dem Vorfall ausschweigen, statt auf Transparenz und Aufklärung zu setzen.

Ein derart fahrlässiges Vorgehen, das Millionen von Entwicklern und deren Code Sicherheitsrisiken aussetzt – und damit auch sämtliche Nutzer gefährdet – darf einem für die Softwareindustrie derart kritischen Dienst wie Github nicht passieren. Erschwerend hinzu kommt, dass Github erst vor wenigen Wochen Signaturschlüssel entwendet wurden. Offenbar hat Github ein massives Problem mit seiner internen Sicherheit.