Атаку на GitHub можно было предотвратить, используя HTTPS

Ранее SecutityLab сообщал о DDoS-атаке на сайт GitHub. В ходе кибератаки на ресурс группа лиц подменила код отслеживания на код, который направил весь трафик на GitHub. Атакой явно кто-то руководил, поскольку для ее осуществления требовался привилегированный доступ к локально размещенным маршрутизаторам.

«Атаку на ресурс GitHub можно было предотвратить, если бы больше сайтов реализовали шифрование», - сообщил Фонд электронных рубежей (Electronic Frontier Foundation, EFF) в среду, 1 апреля. Подмена кода стала возможной потому, что многие китайские сайты не использовали шифрование для своего трафика, хотя протокол передачи был указан HTTPS.

Дело в том, что скрипты китайской поисковой системы Baidu, использовавшиеся на сайтах, не предусматривают шифрование по умолчанию. Если HTTPS не используется, то злоумышленник может изменить содержимое, находясь между web-сервером и конечным пользователем.

EFF в течение некоторого времени выступал за то, чтобы все web-сайты перешли на HTTPS. Трафик пользователя шифруется, что предотвращает возможность его чтения в случае перехвата. Но HTTPS может быть сложно установить, если сайт использует контент из других источников, например, рекламных сетей, которые также должны произвести изменения.

GitHub использует HTTPS-шифрование, что позволяет ресурсу ослабить цензуру отдельных частей сайта со стороны китайских властей. Ресурс может быть легко заблокирован полностью, как это случилось в январе 2013 года. Тогда такие меры властей Китая привели к критике со стороны Google, которая заявила, что подобные действия негативно отражаются на китайских разработчиках ПО.

Последняя атака была направлена на два проекта на GitHub. Один из них отображает содержание выпусков различных изданий, включая The New York Times, а второй проект – это группа, которая занимается мониторингом сайтов, цензурируемых правительством Китая, а также разработкой способов доступа к заблокированным ресурсам. URL-адреса проектов были заблокированы по состоянию на 1 апреля, хотя остальная часть GitHub была в рабочем состоянии.