اسکن ۷.۲۵ میلیون مخزن در Gitee و کشف بیش از ۲۶ هزار کلید امنیتی فعال

زمینه و اهمیت پروژه

امنیت زنجیره تامین نرم‌افزار همواره با چالش نشت اطلاعات محرمانه (Secrets) در مخازن کد روبه‌رو بوده است. پلتفرم Gitee که در سال ۲۰۱۳ توسط OSChina راه‌اندازی شد، به عنوان پلتفرم ملی میزبانی منبع‌باز در چین شناخته می‌شود. پژوهشگران امنیتی پیش‌تر به دلیل محدودیت شدید در APIهای این پلتفرم نتوانسته بودند مقیاس وسیعی از آن را تحلیل کنند. با این حال، حجم بالای فعالیت روی آن نشان می‌دهد که Gitee نیز مانند GitHub و GitLab مستعد نشت کلیدهای دسترسی است.

معماری و چالش‌های جمع‌آوری داده

به دلیل محدودیت‌های شدید API عمومی Gitee، استخراج مخازن کار ساده‌ای نبود. برای حل این مشکل، یک زیرساخت ترکیبی از روش‌های زیر استفاده شد:

• جستجو از طریق تنها نقطه پایانی (Endpoint) کاربردی با پیش‌وندهای سه‌حروفی.
• استخراج از فید عمومی Explore و صفحات ستاره‌دار کاربران (Stargazers).
• استفاده از ابزار داخلی Elasticsearch که جستجوی وب‌سایت Gitee را پشتیبانی می‌کند.

محدودیت سخت‌گیرانه ۲۰۰ نتیجه برای جستجوها با استفاده از تکنیک انشعاب بر اساس زبان‌های برنامه‌نویسی و مجوزها (Bucket splitting) دور زده شد. در نهایت، این روش توانست مجموعه‌ای از ۷,۲۵۶,۵۳۱ مخزن عمومی را استخراج کند.

پایپ‌لاین اسکن موازی با Modal

برای کلون کردن و اسکن کردن این حجم عظیم از مخازن، از پلتفرم محاسبات سرورلس Modal به همراه دو اسکنر محبوب TruffleHog و Kingfisher به صورت همزمان استفاده شد. این دو ابزار همدیگر را به خوبی پوشش دادند؛ به طوری که TruffleHog در پیدا کردن کلیدهای Alibaba Cloud قدرتمند بود، در حالی که Kingfisher کلیدهای سرویس‌های هوش مصنوعی نظیر DeepSeek، OpenAI، HuggingFace و Zhipu را بهتر شناسایی کرد. کل این فرآیند حدود یک ماه طول کشید و هزینه محاسباتی آن نزدیک به ۳,۰۰۰ دلار شد که از طریق اعتبار پژوهشی Modal تأمین گشت.

نتایج کلیدی

از میان مخازن اسکن‌شده، تعداد ۲۶,۴۰۰ کلید منحصربه‌فرد، معتبر و فعال کشف شد که صحت آن‌ها با استعلام از API سرویس‌دهندگان تایید شده بود:

• توزیع ابری و هوش مصنوعی: بیشترین سهم مربوط به کلیدهای Alibaba Cloud بود (از هر ۷۶۶ مخزن، یکی دارای کلید فعال بود). همچنین مقادیر زیادی از کلیدهای مرتبط با هوش مصنوعی و سرویس‌های مختلف دیگر دیده شد.
• بازه زمانی: اکثر این کلیدهای فعال در دو سال گذشته کامیت شده بودند و سال ۲۰۲۵ به تنهایی شامل ۱۲,۲۴۲ مورد بود.
• دامنه‌ها: ایمیل‌های کامیت‌کنندگان طیف وسیعی از شرکت‌های بزرگ غربی و چینی نظیر Huawei، ByteDance، Google و Microsoft را در بر می‌گرفت.

نگاه جامعه مهندسی (بحث هکرنیوز)

در بحث‌های کاربران در Hacker News، این مسئله مطرح شد که استفاده غیرمجاز از این توکن‌های لورفته (به‌ویژه کلیدهای هوش مصنوعی) چه عواقبی دارد و آیا مشکلات مشابهی در GitHub یا GitLab وجود دارد یا خیر. کاربران تاکید کردند که مشکل نشت کلید یک پدیده جهانی است، اما چالش اصلی در پلتفرم‌هایی مانند Gitee، پیچیدگی و عدم وجود کانال‌های مشخص برای گزارش آسیب‌پذیری و ابطال سریع توکن‌ها توسط شرکت‌های محلی است.