گیت هاب می گوید چندین مهاجم ناشناس به بخشی از مخازن کد این شرکت دسترسی غیرمجاز پیدا کردند و گواهی امضای کد دو برنامه این شرکت را سرقت کردند. هنوز مشخص نیست این مهاجمان چگونه این عملیات نفوذ را انجام داده اند.
در یک پست وبلاگ، GitHub در مورد این حادثه نوشت: «مجموعه ای از گواهی های امضای کد رمزنگاری به طور غیرقانونی استخراج شد. اما گواهینامه ها دارای رمز عبور بودند و هیچ مدرکی دال بر استفاده مخرب یافت نشد.» با این حال، این شرکت اعلام کرد که برای جلوگیری از افشای گواهی ها دسکتاپ و اتم GitHub باطل می کند
این لغو، که از پنجشنبه اعمال می شود، بر نسخه های خاصی از این دو برنامه تأثیر می گذارد. این نسخه ها برای GitHub Desktop در مک شامل موارد زیر خواهد بود: نسخه ویندوز این برنامه خراب نیست.
- 3.1.2
- 3.1.1
- 3.1.0
- 3.0.8
- 3.0.7
- 3.0.6
- 3.0.5
- 3.0.4
- 3.0.3
- 3.0.2
در برنامه Atom، این نسخه ها با لغو گواهی مواجه می شوند:
GitHub گزینه های موجود برای هکرها را محدود می کند
گواهی امضای کد نوعی مهر رمزنگاری است که روی کد قرار می گیرد تا تأیید کند که برنامه توسط توسعه دهنده واقعی آن – در این مورد، GitHub ساخته شده است. اگر گواهی‌ها رمزگشایی شوند، مهاجمان می‌توانند از آنها برای امضای نسخه‌های غیررسمی برنامه‌ها و ارائه نسخه‌های آنها از طریق به‌روزرسانی‌های قانونی به کاربران استفاده کنند.
یکی از گواهی های هک شده در تاریخ 4 ژانویه منقضی شده است و دیگری قرار است روز پنجشنبه این هفته منقضی شود. ابطال این گواهی‌ها باعث می‌شود که کدها بدون در نظر گرفتن زمان امضا، در اعتبارسنجی‌ها پذیرفته نشوند و در این چک‌ها رد شوند.
GitHub اولین بار در 6 دسامبر اعلام کرد که مهاجمان مخازن دسکتاپ، Atom و دیگر مخازن GitHub را با استفاده از رمز دسترسی شخصی (PAT) کلون کرده اند. با این حال، هنوز مشخص نیست که چگونه هکرها به سیستم های شرکت نفوذ کرده و به این اطلاعات دست یافته اند.