紅帽Ceph代碼庫遭黑客攻擊（附Ceph干凈版操作）
上周紅帽遭到了一次非常令其不快的意外事件。Ceph社區(qū)網(wǎng)站和Inktank下載網(wǎng)站雙雙遭到黑客攻擊。前者為開源Ceph分布式對象存儲系統(tǒng)托管開發(fā)代碼，后者則是Ceph的商業(yè)版本。
到底發(fā)生了什么?代碼有沒有遭到破壞?我們?nèi)圆坏枚?。紅帽方面稱：“雖然眼下正在開展調(diào)查這起入侵事件的工作，但我們最初的重心放在為這兩個網(wǎng)站確保軟件和分銷渠道的完整性上。”
好消息是“迄今為止，我們的調(diào)查還沒有發(fā)現(xiàn)這兩個網(wǎng)站上可供下載的代碼遭到了危及。”壞消息是，紅帽“無法完全排除一些受到危及的代碼在過去某個時候被下載這種可能性。”
這起入侵事件不僅向紅帽的CentOSCeph打開了大門，還向UbuntuLinux的Ceph打開了大門，無異于往這款存儲軟件的傷口上撒了把鹽。兩者都依賴來自download.inktank.com的代碼。CentOS版本和Ubuntu版本是用Inktank簽名密鑰(id5438C7019DCEEEAD)簽名的。此外，ceph.com為用Ceph簽名密鑰(id7EBFDD5D17ED316D)簽名的Ceph 社區(qū)版本提供了上游程序包。
紅帽安全部門聲稱它們“不再信任Inktank簽名密鑰的完整性，因而使用標(biāo)準的紅帽版本密鑰重新簽名了紅帽Ceph存儲產(chǎn)品的這些版本。紅帽Ceph存儲產(chǎn)品的客戶應(yīng)該只使用由紅帽版本密鑰簽名的版本。”
這起入侵事件并沒有影響其他Ceph網(wǎng)站，比如download.ceph.com或git.ceph.com，還已知沒有影響其他任何的Ceph社區(qū)基礎(chǔ)設(shè)施。沒有證據(jù)表明版本構(gòu)建系統(tǒng)或Cephgithub源代碼庫受到了危及。
據(jù)Ceph聲稱“已經(jīng)為ceph.com和download.ceph.com構(gòu)建了新的主機，并且重新構(gòu)建了網(wǎng)站。 download.ceph.com上的所有內(nèi)容都已經(jīng)過審核，指向程序包位置的所有ceph.comURL現(xiàn)在都重定向到那里。 download.ceph.com上仍缺失一些內(nèi)容，不過會在今天晚些時候補上：源代碼打包文件將從git重新生成，舊的版本程序包由新的版本密碼重新簽名。”
紅帽Ceph存儲軟件或紅帽企業(yè)版Linux(RHEL)沒有受到這個問題的影響。紅帽的其他產(chǎn)品同樣未遭到損壞。
使用下列操作即可下載、核實和安裝已知干凈的Ceph版本。
更換APT密鑰(Debian和Ubuntu)
- sudo apt-key del 17ED316D
- curl https://git.ceph.com/release.asc |
- sudo apt-key add -sudo apt-get update
更換RPM密鑰(Fedora、CentOS和SUSE等)
- sudo rpm -e --allmatches gpg-pubkey-17ed316d-4fb96ee8
- sudo rpm --import 'https://git.ceph.com/release.asc'
重新安裝程序包(Fedora、CentOS和SUSE等)
- sudo yum clean metadata
- sudo yum reinstall -y $(repoquery --disablerepo=* --enablerepo=ceph --queryformat='%{NAME}' list '*')
所幸的是，“客戶數(shù)據(jù)并沒有存儲在那個受到危及的系統(tǒng)上。該系統(tǒng)確實存有用戶名和固定密碼的散列值，我們將這些資料提供給客戶，用于驗證下載內(nèi)容。”
對于這起黑客事件是怎么得逞的，紅帽心里也沒底。另一方面，中招的網(wǎng)站“托管在紅帽基礎(chǔ)設(shè)施外面的一套計算機系統(tǒng)上。”重建后的網(wǎng)站現(xiàn)在已經(jīng)處于紅帽的安全控制之下。
【本文來源：云頭條微信號】
