CISA 泄露事件：系统性凭据失效案例研究

A 极高等级的安全漏洞近期被曝光：一名与网络安全和基础设施安全局 (CISA) 相关的管理员在公共 GitHub 仓库中泄露了 AWS GovCloud 密钥和高度敏感的内部凭据。此次事件不仅仅是单个员工的失误，而是一次系统性失效，凸显了在高风险环境中凭据管理的脆弱状态。

泄露剖析

此次泄露涉及一个名为 "Private-CISA" 的公共仓库，其中包含大量敏感数据。在最令人震惊的发现中，包括 AWS GovCloud 密钥以及一个名为 AWS-Workspace-Firefox-Passwords.csv 的文件，该文件列出了数十个 CISA 内部系统的明文用户名和密码。

此次事件特别令人担忧的地方在于暴露持续的时间。据报道，泄露可以追溯到 2025 年 11 月，这意味着这些“通往王国的钥匙”在被发现之前，已经向公众开放了数月之久。此外，报告表明，该机构在最初收到暴露通知时未能及时做出反应，从而加剧了风险。

技术失效与错失的防护措施

CISA 泄露事件暴露了多层安全控制失效，这些控制措施本应是任何现代技术组织（更不用说国家安全机构）的标准配置。

1. 明文密钥的持久性

尽管已有强大的密钥管理工具，但凭据仍以明文 CSV 文件形式存储并推送到公共仓库。正如一位评论员所指出的，内部系统缺乏密码管理器是“不可原谅的无能”。

2. 自动化扫描的失效

GitHub 为公共仓库提供原生密钥扫描功能，通常会通知 AWS 等云服务商以触发立即撤销。这些密钥在数月内保持活跃状态这一事实表明存在关键漏洞。这引发了人们对于 GovCloud 密钥是否被自动化扫描器以不同方式处理，或者该机构是否故意禁用了密钥检测功能的问题。

3. "临时"陷阱

许多安全专业人员指出，这遵循了一个常见的模式：凭据被放置在“临时”位置以图方便，随后便成为了永久存储。由于缺乏内部 .gitignore 策略或强制性的加密保险库系统，一个简单的个人错误演变成了国家安全风险。

对现代基础设施的更广泛影响

围绕此次泄露的讨论引发了关于完全超越 API 密钥必要性的更广泛辩论。

API 密钥的终结

人们越来越达成共识，认为长效 API 密钥是一种负担。行业正朝着工作负载身份 (workload identities)、IAM 角色和 OAuth 刷新令牌的方向推进——这些机制提供临时的、受限范围的访问权限，而不是可以被泄露的永久、静态字符字符串。

LLM 风险向量

除了 GitHub，一个新的风险已经出现：大语言模型 (LLM) 的使用。用户越来越多地将 .env 文件或磁盘上的密钥传递给 LLM 进行调试或配置帮助。正如社区讨论中所提到的：

"你的 LLM 会乐于阅读整个文件，将其作为未来版本 ChatGPT 的训练数据发送出去，且不会发出任何警报……组织应当审计并轮换存储在磁盘或日志中的密钥。"

修复路径

为了防止此类灾难，组织必须从被动应对转向“为被攻破而设计”的思维模式。建议的策略包括：

  • 加密保险库与代理： 不要将密钥存储在环境变量中，而是使用加密保险库（如 HashiCorp Vault 或 AWS Secrets Manager）并通过代理在调用时注入凭据。这可以确保代理或开发人员永远不会看到实际的密钥。
  • 全方位加密： 默认将每个云路径视为已受损，并在任何同步发生之前在本地加密敏感文件。
  • 基于身份的访问： 从静态密钥转向会自动过期、基于身份的短期凭据。
  • 外部监控： 虽然内部工具至关重要，但利用 GitGuardian 等外部监控服务可以提供必要的最后一道防线，以捕捉那些逃避了内部 CI/CD 流水线的泄露事件。

Sources