Kongress setzt CISA wegen des von einem Auftragnehmer verursachten GitHub-Leaks von Zugangsdaten unter Druck

Abgeordnete aus Repräsentantenhaus und Senat fordern von der Cybersecurity and Infrastructure Security Agency (CISA) Erklärungen, nachdem Berichte bekannt wurden, wonach ein Auftragnehmer der Behörde sensible Zugangsdaten in einem öffentlichen GitHub-Konto veröffentlicht hat. Die Offenlegung wirft Fragen dazu auf, wie eine Cybersicherheitsbehörde, die mit dem Schutz föderaler Systeme betraut ist, einem derart grundlegenden, aber potenziell schwerwiegenden Versäumnis ausgesetzt sein konnte.

Den Berichten zufolge, die die Untersuchung ausgelöst haben, nutzte der Auftragnehmer ein öffentliches Repository, das mit einem Konto namens Private-CISA verknüpft war, um Schlüssel im Klartext und andere interne Informationen zu speichern. Sicherheitsforscher, die das Material untersuchten, erklärten, die Historie des Repositorys deute darauf hin, dass Schutzmechanismen zur Verhinderung einer versehentlichen Offenlegung von Geheimnissen deaktiviert worden waren. Die CISA hat den Vorfall bestätigt, jedoch nicht mitgeteilt, wie lange die Informationen sichtbar waren, bevor sie entfernt wurden.

In dieser Woche versandten Schreiben forderten Senatorin Maggie Hassan aus New Hampshire und der Abgeordnete Bennie Thompson aus Mississippi die Führung der CISA auf, zu erklären, was geschehen ist und wie die Behörde darauf reagiert. Hassan erklärte, der Vorfall werfe während einer Phase hohen Drucks auf die kritische Infrastruktur der USA Bedenken hinsichtlich der internen Kontrollen der Behörde auf. Thompson erklärte gemeinsam mit der Abgeordneten Delia Ramirez aus Illinois, der Vorfall könne auf geschwächte Sicherheitspraktiken oder eine unzureichende Kontrolle des Vertragspersonals hindeuten.

Fragen zur Dauer der Offenlegung und zur Behebung bleiben offen

Forscher erklärten, das Repository habe offenbar Zugangsdaten für mehrere CISA-Systeme enthalten, darunter mit GovCloud-Ressourcen verknüpfte Zugangsdaten. Ein Sicherheitsexperte erklärte gegenüber Journalisten, ein offengelegter privater RSA-Schlüssel hätte den Zugriff auf eine GitHub-Anwendung mit weitreichenden Berechtigungen für von der Behörde genutzte Code-Repositories ermöglichen können. Die CISA erklärte, sie koordiniere sich mit Anbietern und anderen Beteiligten, um Zugangsdaten zu rotieren und betroffene Zugriffsrechte zu entziehen.

• Die Abgeordneten wollen eine Zeitleiste dazu, wie lange die Daten offengelegt waren.
• Nach Angaben von Forschern müssen einige der durchgesickerten Zugangsdaten möglicherweise noch ersetzt werden.
• Die CISA erklärt, sie arbeite aktiv daran, die betroffenen Systeme zu sichern.

Der Vorfall ereignet sich zu einem Zeitpunkt, an dem die CISA mit personellen Beeinträchtigungen und einem Wechsel in der Führungsebene konfrontiert ist, was die Prüfung des Umgangs der Behörde mit interner Sicherheit und der Kontrolle von Auftragnehmern weiter verschärft. Sicherheitsforscher warnten zudem, dass öffentliche Code-Plattformen sowohl von Verteidigern als auch von Angreifern genau beobachtet werden. Dadurch können offengelegte Geheimnisse nach ihrer Veröffentlichung schnell entdeckt werden.