Sicurezza
Un repository GitHub pubblico chiamato “Private-CISA” ha esposto credenziali sensibili legate a infrastrutture governative statunitensi. La notizia, anticipata da KrebsOnSecurity, ha creato imbarazzo dentro CISA, Cybersecurity and Infrastructure Security Agency, l’ente che coordina la difesa informatica federale, improvvisamente ritrovatosi al centro di uno dei casi più evidenti di cattiva gestione dei segreti digitali. Il problema non riguarda soltanto password lasciate in chiaro; parliamo di chiavi cloud, accessi privilegiati e dettagli operativi interni pubblicati in un repository accessibile pubblicamente per un periodo ancora non chiarito.
La vicenda assume un peso particolare perché CISA rappresenta uno dei pilastri della cybersecurity nazionale USA. L’agenzia nacque nel 2018 all’interno del Department of Homeland Security con il compito di proteggere infrastrutture critiche, reti federali e operatori strategici. Negli anni ha promosso campagne aggressive contro l’uso di password deboli, contro l’hardcoding delle credenziali nel codice e contro le cattive pratiche DevOps. Il punto è che l’incidente descritto da Krebs sembra violare esattamente le regole che l’agenzia impone abitualmente a fornitori e amministrazioni. Questa storica e indimenticabile esternazione ci sta proprio bene!
