Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

Github – Une faute d’inattention qui coûte cher

Andrew Hoffman est développeur Ruby et durant ses vacances de Noël, il a commis une petite erreur qui a failli lui coûter plus de 2300 dollars.

Environ 5 minutes avoir mis son clone de Yelp sur Github pour en partager les sources, il a percuté qu’il avait oublié ses clés Amazon WebServices (AWS) dans son script. Il les a enlevé puis à remis une nouvelle version du script nettoyé sur le dépôt. Pas grave se dit-il, puisque il est le seul à connaitre l’existence de ce dépôt Github et que ses clés ne sont restées en ligne que quelques minutes.

Et il est parti se coucher.

Pas de chance pour lui, puisque presque immédiatement après la première publication de son code, un bot dont c’est la fonction, s’en est emparé et les a utilisé pour créer plus de 140 serveurs EC2 avec son compte Amazon AWS, afin de miner du Bitcoin.

Et c’est le lendemain, qu’il a découvert une facture de 2375 $ sur son compte Amazon. Après discussion avec l’entreprise américaine, ces derniers ont accepté de ne rien lui faire payer et sur son blog, où il explique sa mésaventure, il donne ces quelques conseils :

  • Ne faites pas confiance à des choses comme .gitignore ou des gems comme Firago pour conserver vos données à l’abri des yeux indiscrets
  • Si vous devez gérer un projet contenant des données sensibles, préférez un dépôt privé sur votre machine locale ou un serveur géré par vous uniquement (et sécurisé).
  • Et si vos clés API se retrouvent par erreur sur le net, même pour quelques secondes, ne prenez aucun risque et révoquez les, puis générez en de nouvelles que vous garderez pour vous, cette fois.

Message reçu Andrew ! Je reste quand même bluffé par l’ingéniosité des développeurs de ce bot, qui utilisent la négligence de certains développeurs pour se faire du pognon. A mon avis, à moins que Github ne fasse quelque chose pour nettoyer ces clés AWS des codes publiés ou pour bloquer ce genre de bot, les gars ne sont pas près de s’arrêter.

Bref, gaffe à vos sources.

Source



Vérifiez la sécurité de votre compte Gmail

Je ne recommande à personne d’utiliser une boite mail Gmail pour tout un tas de raisons liées à l’exploitation des données personnelles, au patriot act, en passant par la lecture automatisée des emails…etc.

Toutefois si vous avez encore un compte Gmail, qui plus est, ancien mais encore en activité, il serait peut-être bien de vérifier la qualité de sa sécurité. …

Lire la suite



Comment bloquer Red Shell, le spyware des gamers

Si vous suivez un peu l’actualité du jeu vidéo, vous n’avez surement pas manqué la polémique Red Shell. Cet outil mis sur le marché en 2017 par la société Innervate est très utilisé par les éditeurs de jeux pour mesurer la quantité de nouvelles installations de leurs jeux générés par une pub Facebook, YouTube ou Twitter.

Lire la suite



Mettre en place un backup de Github

C’est cool de faire confiance à des sites pour conserver nos données, mais il peut arriver à un moment que celles-ci disparaissent. Soit parce que vous ne respectez plus les CGU du site, soit parce que le site a subi une panne vraiment importante et que leur processus de sauvegarde a été négligé, soit parce que vous avez vous-même supprimé vos données par erreur tel un gros boulet (ça arrive souvent aussi, même aux meilleurs).

Lire la suite