Casestudy

3 certificaten gestolen. 94 miljoen ontwikkelaars lopen risico. Wat het datalek bij GitHub ons leert over codeondertekening.

In december 2022 gebruikten aanvallers een gecompromitteerd persoonlijk toegangstoken om drie versleutelde codeondertekeningscertificaten van GitHub te stelen. Hieronder lees je wat er misging en hoe CodeSign Secure dit oplost.

3 certificaten gestolen. 94 miljoen ontwikkelaars in gevaar. Wat het datalek bij GitHub ons leert over codeondertekening.

Over ons

GitHub, 's werelds grootste platform voor het hosten van code, is eigendom van Microsoft. Het host meer dan 100 miljoen repositories en bedient wereldwijd meer dan 94 miljoen ontwikkelaars voor open-source- en bedrijfsprojecten (cijfers uit 2023).

Industrie

Softwareontwikkeling, codehosting en DevOps

Incidenttype:

Diefstal van codeondertekeningscertificaten via gecompromitteerde persoonlijke toegangstokens

Download Case Study

Resultaat in één oogopslag

Versleutelde codeondertekeningscertificaten gestolen

94M +

Ontwikkelaars wiens vertrouwen op het spel stond.

~1 dag

Geschatte verblijftijd van de aanvaller voordat deze wordt gedetecteerd.

742%

Gerapporteerde toename van aanvallen op de toeleveringsketen (brancheonderzoek)

De onderneming

Challenges

Het datalek bracht tekortkomingen aan het licht in de manier waarop GitHub zijn codeondertekeningscertificaten opsloeg en beschermde. Er is nooit bevestigd dat er sprake was van decryptie of misbruik, maar de certificaten hadden gebruikt kunnen worden om malware te ondertekenen die via een van de meest vertrouwde softwareplatformen werd verspreid.

Onvoldoende RBAC voor gevoelige repositories

Het gecompromitteerde machineaccount had meer toegang dan nodig was voor de betreffende taak, wat een schoolvoorbeeld is van een schending van het principe van minimale bevoegdheden. Strengere RBAC-procedures zouden ervoor gezorgd hebben dat het geen toegang had tot de certificaatarchieven.

01 BESTUUR

Certificaten die toegankelijk zijn via één enkele gecompromitteerde PAT.

Hoe de PAT (Private Access Trojan) werd gecompromitteerd, is nooit bekendgemaakt. CI/CD-machineaccounts hadden onvoldoende beveiligingsmaatregelen, waardoor één inloggegeven al voldoende was om toegang te krijgen tot repositories met codeondertekeningscertificaten.

02 TOEGANGSCONTROLE

Certificaten worden opgeslagen in repositories, niet in HSM's.

Alle drie de certificaten bevonden zich in repositories, niet in hardwarebeveiligingsmodules: één Apple Developer ID (geldig tot 2027) en twee DigiCert-certificaten (verlopen op 4 januari en 1 februari 2023). Versleuteling en wachtwoorden bieden weinig bescherming zodra de aanvaller toegang heeft tot de repository.

03 SLEUTELOPSLAG

Bedrijven verliezen geen vertrouwen wanneer een certificaat wordt gestolen, maar wanneer ze niet kunnen bewijzen dat de gestolen sleutel nooit bruikbaar is geweest. Ondertekening met HSM-ondersteuning maakt dat bewijs mogelijk.

Encryptieconsultancy, CodeSign Secure Team

Codeondertekening veilig · Versleutelingsadvies · Beveiliging van codeondertekening

Hoe CodeSign beveiligd

Gaat het daarover?

CodeSign Secure pakt dezelfde problemen aan waar GitHub tegenaan liep: HSM-ondersteunde sleutelopslag met een aangepaste KSP, geautomatiseerde CI/CD-ondertekening met audit trails, gedetailleerde toegangscontrole in combinatie met realtime SIEM-monitoring en compliance met geautomatiseerde intrekking. Elke functionaliteit sluit aan op een van de bovengenoemde tekortkomingen.

Vermogen 01

HSM-gebaseerde sleutelopslag met aangepaste KSP

Privésleutels worden gegenereerd in FIPS 140-2 Level 3 HSM's en verlaten het apparaat nooit. De KSP van Encryption Consulting hasht de code lokaal en stuurt de hash naar de HSM ter ondertekening. Zelfs als certificaten worden gestolen, zijn de sleutels dus niet beschikbaar voor misbruik.

Vermogen 02

Geautomatiseerde ondertekening en audit trails in CI/CD

Het ondertekenen vindt plaats binnen CI/CD-pipelines, waardoor alleen geautoriseerde code wordt ondertekend. Elke bewerking genereert een auditlogboek dat manipulatie detecteert, wat zorgt voor realtime detectie en een volledig overzicht voor incidentafhandeling.

Vermogen 03

Gedetailleerde toegangscontrole en realtime monitoring

RBAC, MFA en M van N-quorumgoedkeuringen voorkomen dat een gecompromitteerde PAT toegang krijgt tot cryptografische activa. SIEM-integraties zoals Splunk signaleren onmiddellijk afwijkende PAT- en repositorytoegang, waardoor een detectievenster van één dag wordt voorkomen.

Vermogen 04

Naleving en geautomatiseerde intrekking

CodeSign Secure voldoet aan de eisen van het CA/Browser Forum en de AVG. Geautomatiseerde intrekking maakt handmatige communicatie met certificeringsinstanties zoals DigiCert en Apple overbodig, waardoor de reactietijd korter is en de operationele verstoringen die GitHub ondervond grotendeels worden voorkomen.

De datalek bij GitHub laat zien dat encryptie alleen geen bescherming biedt. Certificaten die buiten een HSM zijn opgeslagen, zijn altijd slechts één gestolen inloggegeven verwijderd van een compromittering, ongeacht hoe sterk het wachtwoord is.

Encryptieconsultancy, CodeSign Secure Team

Codeondertekening veilig · Versleutelingsadvies · Beveiliging van codeondertekening

het algemeen

Zakelijk resultaat

CodeSign Secure verhelpt de opslag- en toegangscontrolefouten die de GitHub-hack mogelijk maakten en geeft beveiligingsteams inzicht om bedreigingen te detecteren voordat certificaten worden gecompromitteerd. Het beveiligen van de softwareleveringsketen is niet de taak van één enkel platform; het is iets waar de hele sector gezamenlijk aan moet werken.

Privésleutels beveiligd, automatische intrekking

HSM-opslag en de aangepaste KSP bewaren privésleutels op het apparaat, waardoor een gestolen certificaat alleen niet volstaat om te ondertekenen. Geautomatiseerde intrekking vervangt de trage coördinatie tussen meerdere CA's die GitHub vertraagde.

Ongeautoriseerde toegang in realtime gedetecteerd.

SIEM-integratie en audit trails dichten het gat van één dag in de monitoring dat de aanvaller van GitHub had uitgebuit. Verdachte PAT-activiteit wordt direct gemeld, waardoor het team de situatie kan indammen voordat er iets wordt ondertekend.

Vertrouwen in de toeleveringsketen behouden op grote schaal.

Voor 94 miljoen ontwikkelaars ondermijnt certificaatdiefstal het vertrouwen waarop samenwerking is gebaseerd. CodeSign Secure pakt dit risico aan op infrastructuurniveau, wat cruciaal is gezien de stijging van 742% in aanvallen op de toeleveringsketen.

Ontdek onze

Nieuwste bronnen

Education Center

Inleiding tot Microsoft Intune

Microsoft Intune is de cloudgebaseerde endpointbeheerservice van Microsoft. Ontdek hoe het werkt, het verschil tussen MDM en MAM, licenties en de integratie met Entra ID.

Lees meer

Bekijk alle blogs

Windows-Hello-voor-Bedrijven-implementatiemodellen

Implementatiemodellen voor Windows Hello voor bedrijven

Gebruiksscenario en aanbevolen werkwijzen van Windows Hello

Gebruiksscenario en aanbevolen procedures voor Windows Hello

Wat zijn hybride certificaten?

Wit papier

De Cert Wars: De Race tegen de Vervaldatum

Eén verlopen certificaat kan de bedrijfsvoering volledig stilleggen. Ontdek hoe u storingen kunt voorkomen en certificaatverlopen kunt beheren voordat dit uw bedrijf beïnvloedt.

Lees meer

Bekijk alle whitepapers

Post-kwantumcryptografie voor de financiële sector: bedreigingen, standaarden en de weg naar 2035

Post-kwantumcryptografie voor de financiële wereld: bedreigingen, standaarden en de weg naar 2035

FIPS-140-3-Migratie: De complete gids voor het halen van de deadline van 21 september 2026

FIPS 140-3-migratie: de complete gids om de deadline van 21 september 2026 te halen.

Het PQC-handtekeningselectie-handtekeninghandboek

Het PQC Signature Selection Playbook

Video

Het kwantummandaat uitgelegd: wat het uitvoeringsbesluit van 2026 betekent voor cryptografie na het kwantumtijdperk.

Ontdek deskundige inzichten over cyberbeveiliging, PKI en paraatheid na het kwantumtijdperk, met praktische richtlijnen om de beveiliging te versterken en cryptografie toekomstbestendig te maken.

Nu bekijken

bekijk alle video's

Het ontcijferen van de post-kwantumbeveiliging op het internationale ruimtestation (deel 2) | Wat dit voor jou betekent

Het ontcijferen van post-kwantumbeveiliging op het internationale ruimtestation (deel 2) | Wat dit voor jou betekent

Het decoderen van post-kwantumbeveiliging op het internationale ruimtestation

Het ontcijferen van post-kwantumbeveiliging op het internationale ruimtestation

Van 50 tot 9: NIST's overlevenden van de post-kwantumsignatuur (deel 2)

Van 50 naar 9: NIST's overlevenden van post-kwantumsignaturen (deel 2)