Almanya merkezli RWTH Aachen Üniversitesi’ndeki araştırmacılar, Docker Hub üzerinde barındırılan 337.171 imajı inceledi ve şaşırtıcı bir sonuca ulaştı. Yapılan analizde, bu imajların yaklaşık %8.5’inin kimlik doğrulama sırları ve özel anahtarlar gibi hassas veriler içerdiği belirlendi.
Araştırma ayrıca, sızdırılan anahtarların çoğunun aktif olarak kullanıldığını ortaya koydu. Bu durum, söz konusu anahtarlara dayanan diğer unsurların güvenliğini tehlikeye atarak, yüzlerce sertifikayı etkilemekte.
Araştırmacılar, toplamda 337.171 Docker imajından elde ettikleri veri setini kullanarak analizler yaptı. Yapılan veri analizi, belirli sırları aramak için düzenli ifadelerin kullanıldığını ve bu sayede 28.621 Docker imajında 52.107 geçerli özel anahtar ve 3.158 farklı API sırrının sızdırıldığını ortaya çıkardı.
Bu rakamlar, test anahtarları, örnek API sırları ve geçersiz eşleşmeler hariç olmak üzere araştırmacılar tarafından doğrulandı.
Araştırmacılar, sızdırılan sırların çoğunun (%95 özel anahtarlar ve %90 API sırları) tek kullanıcılı imajlarda olduğunu tespit etti. Bu durum, sızıntıların muhtemelen kazara gerçekleştiğini gösteriyor.
Docker Hub’da sızdırma oranı %9.0 iken, özel depolardan alınan imajlarda bu oran %6.3 olarak belirlendi. Bu fark, Docker Hub kullanıcılarının genellikle özel depoları kuranlardan daha az konteyner güvenliği anlayışına sahip olduğunu gösteriyor.
Araştırmacılar, sızdırılan sırların gerçek hayatta kullanımını belirlemek için Censys veritabanından alınan 15 aylık internet genelindeki ölçümleri kullandı. Yapılan analiz sonucunda, sızdırılan anahtarlara bağımlı olduğu tespit edilen 275.269 ana bilgisayar bulundu. Bu, internet of things (IoT) verilerini aktaran MQTT ve AMQP sunucularından, hassas veriler sunan FTP, PostgreSQL, Elasticsearch ve MySQL sunucularına, telekomünikasyon için kullanılan SIP sunucularından ve e-posta sunucularına kadar çeşitli hizmetleri kapsamaktadır.
Bu durum, konteyner güvenliğinde büyük bir sorunu ortaya koyarken, imajların oluşturulması sırasında sırların temizlenmesine dikkat edilmediğini göstermektedir.
Kaynak: bleepingcomputer.com