Mercoledì 6 ottobre un utente anonimo ha pubblicato su 4chan un torrent da 125 GB con i dati interni di Twitch, la piattaforma di streaming di proprietà di Amazon. L’archivio è intitolato «parte uno», come a promettere un seguito. Twitch ha confermato la violazione poche ore dopo.
Secondo chi l’ha diffuso, il materiale viene da circa 6.000 repository Git interni. Dentro ci sarebbero l’intero codice sorgente di twitch.tv con la cronologia delle modifiche fin dall’inizio, i client per smartphone, computer e console, SDK proprietari, servizi interni basati su AWS, strumenti di sicurezza interni e i report dei pagamenti ai creator dal 2019 a oggi. C’è perfino materiale su un negozio di giochi non ancora annunciato.
In poche ore i guadagni degli streamer più seguiti sono diventati l’argomento del giorno. Per la sicurezza il problema serio è un altro. Chi ha in mano il codice sorgente e gli strumenti difensivi di una piattaforma può studiarli con calma alla ricerca di vulnerabilità, e nei repository di un’azienda capita spesso di trovare chiavi, token e password dimenticati nel codice. Se ce ne siano in questo archivio, e quanti siano ancora validi, al momento non si sa.
Twitch attribuisce l’esposizione a un errore in una modifica alla configurazione di un server, sfruttato poi da un soggetto malintenzionato. Dice di non avere indicazioni che le credenziali degli utenti siano state esposte e precisa di non conservare numeri completi di carte di credito. Per precauzione ha reimpostato tutte le stream key, le chiavi con cui gli streamer trasmettono.
Se usi Twitch, cambia la password, soprattutto se l’hai riutilizzata altrove, e attiva l’autenticazione a due fattori. Se trasmetti, inserisci la nuova stream key nel tuo software. E nei prossimi giorni diffida delle email che sfruttano la notizia per chiederti di «verificare l’account».
Se invece gestisci un’infrastruttura di sviluppo, la lezione è più scomoda. Controlla chi può raggiungere i tuoi server Git e rivedi ogni modifica di configurazione che tocca l’esposizione verso Internet. Cerca nei repository i segreti scritti nel codice e spostali in un gestore dedicato. Poi parti da un presupposto: prima o poi il codice può uscire, e la tua sicurezza non deve dipendere dal fatto che resti segreto.
