2019年4月25日のDocker Hubデータベースへの不正アクセスについて #docker
この記事は1年以上前に投稿されました。情報が古い可能性がありますので、ご注意ください。
問題
2019年4月25日木曜日、私達は非金融機関のユーザデータの一部を格納している単一のDocker Hubデータベースへの不正アクセスを発見しました。発見時、私達は迅速に介入しサイトを安全にするために行動しました。
進行中の調査からわかったことをご報告いたします。これには、影響を受けたDocker Hubアカウントは何か、ユーザが取るべき行動は何かを含みます。
解決策
Docker Hubデータベースへの短時間の不正アクセスの間、約190,000アカウントの機微情報が公開された可能性があります。これは全Docker Hubユーザの5%未満に相当します。このデータには、これらのユーザのうち数%のユーザ名とハッシュ化パスワードやDocker自動ビルド用のGitHubとBitBucketのトークンを含みます。
- 皆様には、Docker Hubのパスワードと、他のアカウントと共有しているパスワードの変更をお願いいたします。
- 自動ビルドのユーザも影響を受けている可能性があるため、GitHubトークンとアクセスキーを破棄しました。これは自動ビルドが失敗することを意味するのでリポジトリへの再接続と、意図せぬ動作が行われていないかどうかセキュリティログの確認をお願いいたします。
- 意図せぬアクセスが起きているかどうか調べるには、GitHub、BitBucketのセキュリティログを確認するとよいでしょう。こちらをご覧ください: https://help.github.com/en/articles/reviewing-your-security-log と https://bitbucket.org/blog/new-audit-logs-give-you-the-who-what-when-and-where
- https://docs.docker.com/docker-hub/builds/link-source/ に記載のあるGitHubとBitbucketのソースプロバイダの解除と再接続が必要になるかもしれません。
私達はセキュリティ処置の全体的な強化と、ポリシーの検証を進めています。モニタリングツールの追加を完了しています。
よくある質疑応答
Q: 何が起きたのですか？
Docker Hubデータベースへの短時間の不正アクセスがありました。この短時間のうちに、190,000アカウントの機微情報が公開された可能性があります。これは全Docker Hubユーザの5%未満に相当します。このデータには、ユーザのうち数%のユーザ名とハッシュ化パスワードやDocker自動ビルド用のGitHubとBitBucketのトークンを含みます。これらすべてのトークンを破棄しました。
Q: この事象により、Docker社の公式イメージは影響を受けましたか？
公式イメージは侵害されていません。公式イメージには、Gitコミットに対するGPG署名と、各イメージの一貫性を保証するNotary署名も含む、追加的なセキュリティ基準を設けています。
Q: Docker HubレポジトリをGitHubレポジトリに再接続すると、危険がありますか？
ありません。Docker Hubレポジトリの再接続は、GitHubやBitBucketソースレポジトリに新しい読み込み専用のデプロイキーを作成します。
