上周紅帽遭到了一次非常令其不快的意外事件。Ceph社區(qū)網(wǎng)站和Inktank下載網(wǎng)站雙雙遭到黑客攻擊。前者為開源Ceph分布式對(duì)象存儲(chǔ)系統(tǒng)托管開發(fā)代碼，后者則是Ceph的商業(yè)版本。

到底發(fā)生了什么?代碼有沒有遭到破壞?我們?nèi)圆坏枚?。紅帽方面稱：“雖然眼下正在開展調(diào)查這起入侵事件的工作，但我們最初的重心放在為這兩個(gè)網(wǎng)站確保軟件和分銷渠道的完整性上。”

好消息是“迄今為止，我們的調(diào)查還沒有發(fā)現(xiàn)這兩個(gè)網(wǎng)站上可供下載的代碼遭到了危及。”壞消息是，紅帽“無(wú)法完全排除一些受到危及的代碼在過去某個(gè)時(shí)候被下載這種可能性。”

這起入侵事件不僅向紅帽的CentOSCeph打開了大門，還向UbuntuLinux的Ceph打開了大門，無(wú)異于往這款存儲(chǔ)軟件的傷口上撒了把鹽。兩者都依賴來(lái)自download.inktank.com的代碼。CentOS版本和Ubuntu版本是用Inktank簽名密鑰(id5438C7019DCEEEAD)簽名的。此外，ceph.com為用Ceph簽名密鑰(id7EBFDD5D17ED316D)簽名的Ceph 社區(qū)版本提供了上游程序包。

紅帽安全部門聲稱它們“不再信任Inktank簽名密鑰的完整性，因而使用標(biāo)準(zhǔn)的紅帽版本密鑰重新簽名了紅帽Ceph存儲(chǔ)產(chǎn)品的這些版本。紅帽Ceph存儲(chǔ)產(chǎn)品的客戶應(yīng)該只使用由紅帽版本密鑰簽名的版本。”

這起入侵事件并沒有影響其他Ceph網(wǎng)站，比如download.ceph.com或git.ceph.com，還已知沒有影響其他任何的Ceph社區(qū)基礎(chǔ)設(shè)施。沒有證據(jù)表明版本構(gòu)建系統(tǒng)或Cephgithub源代碼庫(kù)受到了危及。

據(jù)Ceph聲稱“已經(jīng)為ceph.com和download.ceph.com構(gòu)建了新的主機(jī)，并且重新構(gòu)建了網(wǎng)站。 download.ceph.com上的所有內(nèi)容都已經(jīng)過審核，指向程序包位置的所有ceph.comURL現(xiàn)在都重定向到那里。 download.ceph.com上仍缺失一些內(nèi)容，不過會(huì)在今天晚些時(shí)候補(bǔ)上：源代碼打包文件將從git重新生成，舊的版本程序包由新的版本密碼重新簽名。”

紅帽Ceph存儲(chǔ)軟件或紅帽企業(yè)版Linux(RHEL)沒有受到這個(gè)問題的影響。紅帽的其他產(chǎn)品同樣未遭到損壞。

使用下列操作即可下載、核實(shí)和安裝已知干凈的Ceph版本。

更換APT密鑰(Debian和Ubuntu)

sudo apt-key del 17ED316D
curl https://git.ceph.com/release.asc |
 sudo apt-key add -sudo apt-get update 

更換RPM密鑰(Fedora、CentOS和SUSE等)

sudo rpm -e --allmatches gpg-pubkey-17ed316d-4fb96ee8 
sudo rpm --import 'https://git.ceph.com/release.asc' 

重新安裝程序包(Fedora、CentOS和SUSE等)

sudo yum clean metadata 
sudo yum reinstall -y $(repoquery --disablerepo=* --enablerepo=ceph --queryformat='%{NAME}' list '*') 

所幸的是，“客戶數(shù)據(jù)并沒有存儲(chǔ)在那個(gè)受到危及的系統(tǒng)上。該系統(tǒng)確實(shí)存有用戶名和固定密碼的散列值，我們將這些資料提供給客戶，用于驗(yàn)證下載內(nèi)容。”

對(duì)于這起黑客事件是怎么得逞的，紅帽心里也沒底。另一方面，中招的網(wǎng)站“托管在紅帽基礎(chǔ)設(shè)施外面的一套計(jì)算機(jī)系統(tǒng)上。”重建后的網(wǎng)站現(xiàn)在已經(jīng)處于紅帽的安全控制之下。

【本文來(lái)源：云頭條微信號(hào)】