La semaine dernière, la distribution Linux perdait le contrôle de son dépôt. Cette attaque s'accompagnait d'une modification des données et des pages. L'intégrité du code était alors considérée comme compromise.

Dans son rapport d'incident, l'équipe révèle que les pirates ont pu deviner le mot de passe d'un des administrateurs du dépôt. L'opération aurait été rendu possible par l'utilisation d'un autre mot de passe, très proche, sur un site tiers, récupéré avant par les pirates.

Ce que révèle le rapport finalement, c'est une succession d'erreurs. L'utilisation de mots de passe identiques ou très proches sur plusieurs sites, l'absence d'authentification à deux facteurs sur GitHub, l'absence de sauvegarde de certaines données ou encore le stockage direct du dépôt systemd sur GitHub.

Mais en dépit de ces erreurs, il n'aura fallu que 70 minutes pour que les développeurs récupèrent leur compte. Pourquoi ? Parce que les pirates ont déclenché une attaque violente, donc très visible, bloquant notamment l'accès aux développeurs.

Cette vague de blocage a déclenché une alerte dans les système de GitHub pour comportement suspicieux. Les développeurs ont reçu des emails et ont fait valoir leurs droits.

Le gros des données de la distribution est intacte, car stocké sur les propres infrastructures des développeurs, avec un mirroring sur GitHub. Les clés privées du compte sont également épargnées.

L'équipe ajoute (bien sûr) que tout sera fait pour ne pas revivre l'incident : sauvegardes plus fréquentes, authentification (matérielle) à deux facteurs, partage des informations avec les utilisateurs ou encore renforcement de la procédure de révocation des identifiants.