Die IT-Sicherheitsfirma Truffle Security hat in einem Blogbeitrag gezeigt, dass Daten aus gelöschten und sogar aus privaten GitHub-Repositories weiterhin öffentlich abrufbar sein können. Nach Angaben der Forscher ist das kein Fehler, sondern von GitHub bewusst so umgesetztes Verhalten.
Für das Problem prägte Truffle Security den Begriff Cross Fork Object Reference. Wer ein öffentliches Repository forkt, eigene Commits hinzufügt und den Fork anschließend löscht, kann davon ausgehen, dass die Daten weiterhin über das Ursprungsrepository abrufbar bleiben, sofern die passenden Commit-Hashes bekannt sind.
Commit-Hashes lassen sich erraten
Ein Schutz durch Geheimhaltung des Commit-Hashes funktioniert laut den Forschern kaum, da GitHub auch verkürzte Hashes mit einer Mindestlänge von vier Zeichen akzeptiert. Der Zeichenraum solcher Kurz-Hashes umfasst nur rund 65.000 Kombinationen und lässt sich durchprobieren. In einem Test durchsuchten die Forscher drei häufig geforkte öffentliche Repositories eines großen KI-Unternehmens und fanden darüber 40 gültige API-Schlüssel aus gelöschten Forks.
Auch private Repositories sind laut der Untersuchung nicht zwangsläufig geschützt. Wird ein öffentliches Repository mit einem zunächst privaten Fork versehen und später das öffentliche Original ebenfalls auf privat oder gelöscht gestellt, bleiben Commits aus dem Fork, die vor der Umstellung entstanden, weiterhin über direkte Links erreichbar.
GitHub spricht von erwartetem Verhalten
Auf Nachfrage bestätigte GitHub laut Truffle Security, dass es sich um dokumentiertes und beabsichtigtes Verhalten des Fork-Netzwerks handelt. Wird ein öffentliches Ursprungsrepository gelöscht, übernimmt einer der bestehenden Forks automatisch die Rolle des Wurzelknotens im Netzwerk, wodurch zuvor eingebundene Commits weiter zugänglich bleiben.
Für Entwicklerteams empfiehlt sich daher, keine Zugangsdaten oder Geheimnisse in Commits einzuchecken, auch nicht in kurzlebigen Forks, da sich diese Daten faktisch nicht mehr zuverlässig entfernen lassen.