Andrew Hoffman est développeur Ruby et durant ses vacances de Noël, il a commis une petite erreur qui a failli lui coûter plus de 2300 dollars.
Environ 5 minutes avoir mis son clone de Yelp sur Github pour en partager les sources, il a percuté qu’il avait oublié ses clés Amazon WebServices (AWS) dans son script. Il les a enlevé puis à remis une nouvelle version du script nettoyé sur le dépôt. Pas grave se dit-il, puisque il est le seul à connaitre l’existence de ce dépôt Github et que ses clés ne sont restées en ligne que quelques minutes.
Et il est parti se coucher.
Pas de chance pour lui, puisque presque immédiatement après la première publication de son code, un bot dont c’est la fonction, s’en est emparé et les a utilisé pour créer plus de 140 serveurs EC2 avec son compte Amazon AWS, afin de miner du Bitcoin.
Et c’est le lendemain, qu’il a découvert une facture de 2375 $ sur son compte Amazon. Après discussion avec l’entreprise américaine, ces derniers ont accepté de ne rien lui faire payer et sur son blog, où il explique sa mésaventure, il donne ces quelques conseils :
- Ne faites pas confiance à des choses comme .gitignore ou des gems comme Firago pour conserver vos données à l’abri des yeux indiscrets
- Si vous devez gérer un projet contenant des données sensibles, préférez un dépôt privé sur votre machine locale ou un serveur géré par vous uniquement (et sécurisé).
- Et si vos clés API se retrouvent par erreur sur le net, même pour quelques secondes, ne prenez aucun risque et révoquez les, puis générez en de nouvelles que vous garderez pour vous, cette fois.
Message reçu Andrew ! Je reste quand même bluffé par l’ingéniosité des développeurs de ce bot, qui utilisent la négligence de certains développeurs pour se faire du pognon. A mon avis, à moins que Github ne fasse quelque chose pour nettoyer ces clés AWS des codes publiés ou pour bloquer ce genre de bot, les gars ne sont pas près de s’arrêter.
Bref, gaffe à vos sources.