唉，研发密钥泄露，导致整个私有 gitlab 被拖。。。

[hackroad]

内网其他部门电脑中毒再扫描整个公司相关系统弱密码。。还真有人 gitlab 弱密码被拖库，代码被拖走多少不知道，但是线上私钥全部泄露，运维、公有云 AK SK 泄露，全部要更换。。。
加班 2 天了，下一周工作量爆炸。。

[dododada]

sso+双因子认证呗，当然你要是搞了一些独立系统，或者双因子认证算法被人破了，那就没辙了；

你这个应该是供应链攻击了，估计还要去看看有没有把你们用的什么云平台的账号数据和资产搞掉；

[wangyzj]

不是内网吗？
另外代码中藏密码这事情，几乎没有完美方案，CI 过滤然后人工看，也不敢完全保证

[yph007595]

@jianghuan2 #3 为什么要推倒 github

[cyspy]

通用做法例如 github secrets 是只能替换不能读写，actions 里面输出会被屏蔽

[Meld]

@wtfwc

说个八卦，现在暗网那么多身份信息资料库，其中有一份就是当时社保局有个傻逼开发硬把内网环境接到公网导致的

[jimrok]

为什么开发要掌握私钥，开发的私钥不是只有开发环境的吗？生产环境都是运维负责管理。

[hanyuwei70]

给 op 一些建议
1. gitlab 2FA 登录，现在 yubikey 也不贵了，还是觉得贵可以用 canokey
2. 线上私钥、云平台 AK 、SK 为什么会放在 gitlab 里？首先应该用一个专门的东西管理这些密钥，其次你都已经是云平台了，尽量减少静态 AKSK 的使用。

[WispZhan]

我们直接 gitlab 纯内网，外部访问只能用 VPN 。 省一大堆事情。

泄露也行，反正至少还要一个 VPN ，VPN 一人一账号，谁出问题谁负责。
---
中木马了当我没说

[demonzoo]

2FA 可以解决这种问题吧？强制所有人开启两步验证

[xw340721]

push 时候在 ci 中加入检测这类的代码,一搜一大把

[v2wp]

内网办公电脑中毒这个事情不得不说，办公电脑安全基线必须有墙和 edr 可以保证 445,139,135 之类的危险端口访问拦截。一般像利用永恒之蓝漏洞的挖矿、勒索病毒都是靠 rce 直接溢出植入的，然后再提取本机密码在内网横向撞口令或者自带弱口令去爆破内网终端，自动化感染其他机器。所以企业内网非常有必要做安全基线配置。

[franswish]

@wtfwc 19 年工龄还干这种事真得怀疑是不是故意的，不是说是间谍，而是有没可能和单位有仇。出这种事单位可能比个人还惨（尤其是如果不是机关而是国企，要盈利那种，出了泄密事故取消保密资格认证可能三年都接不了正常业务）。毕竟国密的电脑连入职一个月的新人都知道不能连入公网