公司 iMac 上的私钥遭到了泄露，不知道泄露途径。

This topic created in 3941 days ago, the information mentioned may be changed or developed.

公司 iMac 的私钥泄露了。
昨天晚上，收到阿里的报警邮件，说服务器被异地登陆。
经过检查，发现公司 iMac 上的私钥泄露了。这个私钥生成后就没拷贝到其他设备上。由于是公司电脑，就没有加密处理了。没想到泄露了。

机子上会用到私钥的软件：
MongoHub （GitHub项目首页下载的）
Sequel Pro (Air 上拷贝的，来源忘记了)
FileZiila （官网下载）
MySQLWorkbench( 官网下载)

现在在纠结到底是从什么途径泄露出去的。朱军有什么好的意见和想法么？

泄露

iMac

拷贝

20 replies • 2015-08-09 07:13:26 +08:00

maxsec

Aug 7, 2015

找原因前先更换掉.

pixstone

Aug 7, 2015

@maxsec
昨晚初判是私钥泄露的时候就紧急处理了，服务器上相关的 authorized_key 都处理掉了...
现在抹掉硬盘，重装系统中。

KexyBiscuit

Aug 7, 2015 via Android

@IBM

mkeith

Aug 7, 2015

是不是挂代理了啊

rio

Aug 7, 2015

你都没有加密处理，怎么能排除那些没有使用到私钥的软件呢？不过就是你个人目录下的一个普通文件，随便哪个软件都可以读取。

pixstone

Aug 7, 2015 via iPhone

@rio 其他软件的话，就剩迅雷 pycharm。sourcetree ，keka。然后就没了。...其他有key的服务器没有被登陆过，只有用ssh代理访问内网资源的跳板服务器被异地登录了。...

zur13l

Aug 7, 2015

@pixstone 没搞清楚原因前就格盘。如果是渗透，你找不到原因就算吧硬盘吃了，也照样泄露。

zur13l

Aug 7, 2015

@pixstone 可以检查一下是不是内网已经被渗透了。
之前就见过一个案例甲方公司IMAC上有装vnc密码是123456。（举例）
导致重装很多次后源码依然泄露。
异地登录的话如果排除是误报。公司又没有做资安的同事的话，建议找专业的团队做一下安全审计。

cuebyte

Aug 7, 2015

为什么不去问问万能的多多呢（逃

cuebyte

Aug 7, 2015

怎么判断是私钥泄露的？有禁止root登陆吗？

pixstone

Aug 7, 2015

@zur13l 渗透可能性不大，那台 iMac 上登录过几乎所有的服务器。但只有为了方便查询 MySQL 的跳板数据库被登录了。其他服务器没有，如果是渗透的应该所有服务器都会进行被登录的，毕竟拿到私钥外还要知道什么服务器可用，必然会测试其他服务器的联通性等等。

至于内网安全的话，谢谢提醒。是有开过屏幕共享这样的。

@cuebyte
ssh 那边限制了，只允许私钥登录。auth.log 也有异地登录的日志。