26 400 identifiants Gitee encore valides, dont des clés cloud et IA, étaient exposés dans des dépôts publics chinois.

Des milliers de secrets oubliés dans du code public restent exploitables. Un chercheur indépendant, Ben Zimmermann, vient de le démontrer. En effet, il a retrouvé 26 400 identifiants Gitee encore valides, c’est-à-dire des accès cachés dans des dépôts publics. Ces dépôts sont hébergés sur une plateforme chinoise d’hébergement de code. Il a rapporté ses résultats le 28 octobre.

Ces accès n’étaient pas périmés. Ils fonctionnaient encore au moment des tests. Autrement dit, n’importe qui aurait pu les copier et s’en servir.

Ce que révèle l’analyse des identifiants Gitee

Gitee est un service d’hébergement de code très utilisé en Chine. Il joue un rôle comparable à celui de GitHub pour de nombreux développeurs. Ainsi, les projets y sont stockés dans des dépôts, certains privés, d’autres publics.

Ben Zimmermann a donc examiné les dépôts accessibles à tous. Au total, il a analysé 7,25 millions de dépôts publics. Ensuite, il a vérifié si les secrets détectés fonctionnaient réellement.

Cette étape change tout. En effet, une chaîne de caractères qui ressemble à une clé n’est pas forcément dangereuse. Elle peut être inventée, expirée ou déjà révoquée. Ici, en revanche, 26 400 identifiants ont passé le test et se sont révélés actifs.

Ce chiffre est d’autant plus marquant qu’il repose sur une vérification concrète. En effet, il ne s’agit pas d’une simple estimation de motifs suspects dans du code.

Des clés cloud et IA en première ligne

La majorité des secrets découverts concernait des services cloud et d’intelligence artificielle. Ce sont des clés d’API, c’est-à-dire des codes qui autorisent un programme à utiliser un service à distance.

Ces clés ont une grande valeur. Elles ouvrent l’accès à de la puissance de calcul, à du stockage ou à des modèles d’IA. Par conséquent, elles intéressent à la fois les fraudeurs et les attaquants plus organisés.

Le détail de la répartition par fournisseur n’est pas précisé dans les informations dont nous disposons. En revanche, la tendance générale est claire. Les accès aux ressources cloud et IA dominent le lot des secrets exposés.

Cette situation reflète une pratique courante. Pour aller vite, un développeur colle parfois une clé directement dans son code. Ensuite, il oublie de la retirer avant de publier le dépôt.

Pourquoi ces fuites d’identifiants Gitee sont dangereuses

Une clé exposée publiquement peut être récupérée par n’importe qui. Il suffit de parcourir les dépôts ou d’automatiser la recherche. D’ailleurs, les attaquants utilisent souvent des outils dédiés à ce type de collecte.

Les conséquences varient selon les droits associés à la clé. Toutefois, plusieurs scénarios sont envisageables :

• Consommation frauduleuse : un tiers utilise les ressources cloud ou les crédits d’IA aux frais du propriétaire.
• Accès aux données : une clé trop permissive peut donner accès à des fichiers, des bases ou des sauvegardes.
• Rebond vers d’autres systèmes : un accès initial peut servir de point d’entrée vers l’infrastructure d’une entreprise.

De plus, le problème ne disparaît pas quand le dépôt est supprimé. Le code peut avoir été copié, archivé ou indexé entre-temps. Supprimer le fichier ne suffit donc pas à neutraliser le secret.

Par ailleurs, ces fuites touchent aussi bien des particuliers que des équipes professionnelles. Par exemple, un projet personnel peut contenir une clé liée à un compte d’entreprise. Le risque dépasse alors largement le cadre d’un simple dépôt de test.

Recommandations pour les développeurs et les entreprises

La première règle est simple : une clé publiée doit être considérée comme compromise. Il faut donc agir sans attendre, même si aucun abus n’a été constaté.

1. Révoquer immédiatement toute clé ou tout jeton retrouvé dans du code public, puis en générer un nouveau.
2. Vérifier les journaux d’activité du fournisseur cloud ou IA pour repérer des usages inhabituels.
3. Limiter les droits de chaque clé au strict nécessaire, afin de réduire l’impact d’une fuite.
4. Sortir les secrets du code en utilisant des variables d’environnement ou un gestionnaire de secrets.
5. Analyser les dépôts avec un outil de détection de secrets, y compris dans l’historique des modifications.

Les entreprises ont également intérêt à encadrer l’usage des plateformes publiques. Une politique claire et des contrôles automatiques avant publication limitent les erreurs. En outre, la formation des développeurs reste un levier efficace.

Ce qu’il faut retenir

• Ben Zimmermann a analysé 7,25 millions de dépôts publics sur Gitee et rapporté ses résultats le 28 octobre.
• Il a trouvé 26 400 identifiants encore valides lors des tests.
• La plupart donnaient accès à des services cloud et d’IA.
• Supprimer un dépôt ne rend pas une clé sûre : il faut la révoquer et la remplacer.
• Les secrets ne doivent jamais figurer en dur dans le code source.

Source : 26,400 Valid Cloud and AI Credentials Found Exposed in Public Gitee Repositories