« GitHub doit examiner de plus près la façon dont elle gère ses clés SSH, car une exposition de ce genre - aussi brève soit-elle - pourrait avoir de graves ramifications étant donné le niveau élevé de privilèges que possèdent ces identités machines. Ces identités machine critiques sont incroyablement puissantes et sont utilisées partout, mais elles sont aussi mal comprises et mal gérées, ce qui en fait des cibles de choix pour les attaquants. Contrairement aux autres identités machines, comme TLS, les clés SSH n’expirent pas. Cela signifie qu’une identité compromise pourrait être abusée pendant de longues périodes – des mois, voire des années – sans qu’une organisation le sache.
Heureusement, GitHub a réagi rapidement pour faire tourner les identités machine impactée une fois qu’il a su que la clé SSH privée avait été accidentellement publiée dans un dépôt public. Et heureusement, il ne semble pas qu’ils aient eu d’impacts néfastes. Mais si un attaquant avait saisi cette opportunité, cela lui aurait donné une arme très puissante, lui permettant de se répandre sur les réseaux clients de GitHub, d’espionner les connexions des utilisateurs et d’accéder à l’infrastructure de GitHub, tout en paraissant totalement digne de confiance. Dans un monde axé sur les machines, il est essentiel d’avoir un plan de contrôle pour gérer le cycle de vie des identités machines. Comme le montre cet incident, vous pouvez vous retrouver exposé très rapidement, suivis de conséquences graves s’il n’est pas traité rapidement. »