奔驰源代码意外泄露，暴露内部敏感数据
内容提要
梅赛德斯-奔驰的私钥意外泄露，导致内部数据包括源代码被泄露。GitHub令牌被发现，访问了公司的GitHub企业服务器。泄露的信息包括数据库连接字符串、云访问密钥和设计文档。源代码泄露可能导致竞争对手逆向工程和黑客发现漏洞。RedHunt Labs已通报并撤销了令牌。梅赛德斯-奔驰表示令牌已撤销，客户数据未受影响。
延伸解读
泄露内容与潜在风险
此次泄露的GitHub令牌允许访问奔驰内部GitHub企业服务器，暴露了数据库连接字符串、云访问密钥、设计文档等敏感信息。源代码泄露可能使竞争对手逆向工程专有技术，黑客也可能借此发现汽车系统漏洞。API密钥暴露则可能导致未经授权的数据访问或服务中断。这些风险凸显了保护开发凭证的重要性。
响应过程与客户数据
RedHunt Labs于2024年1月22日通报奔驰，两天后令牌被撤销，公共存储库也被删除。奔驰确认由于人为错误导致令牌泄露，但强调客户数据未受影响。不过，奔驰未分享技术细节，因此是否发生未授权访问尚不清楚。这提醒企业需建立快速响应机制，并评估潜在影响。
与丰田事件的对比
此次事件与2022年丰田汽车的安全事故类似，均涉及GitHub访问密钥泄露。丰田事件中，客户个人信息在五年内可被公开访问，而奔驰声称客户数据未受影响。两者都因人为错误导致敏感信息暴露，说明即使大型车企也需加强开发环节的安全管理，避免类似疏忽。
Q&A
奔驰源代码泄露事件是如何发生的？
2023年9月29日，RedHunt Labs的研究人员在一个属于奔驰员工的公共GitHub仓库中发现了一个GitHub令牌，该令牌可以访问公司内部的GitHub企业服务器，导致内部数据和源代码泄露。
泄露的GitHub令牌导致了哪些敏感信息暴露？
泄露的信息包括数据库连接字符串、云访问密钥、蓝图、设计文档、SSO密码、API密钥和其他敏感内部信息。
源代码泄露可能带来哪些风险？
源代码泄露可能导致竞争对手对专有技术进行逆向工程，黑客可能发现汽车系统中的潜在漏洞。API密钥暴露可能导致未经授权的数据访问、服务中断以及滥用公司基础设施。
奔驰数据泄露事件是如何被通报和处理的？
RedHunt Labs在TechCrunch的帮助下，于2024年1月22日向梅赛德斯-奔驰通报了令牌泄露事件，并在两天后撤销了该令牌，阻止了所有非法访问。
奔驰官方对此次泄露事件有何回应？
梅赛德斯-奔驰确认由于人为错误，内部访问令牌的源代码被发布到GitHub公共仓库，但该令牌不能访问全部源代码。现已撤销令牌并删除公共存储库，客户数据未受影响。公司表示愿意与全球研究人员合作，并通过漏洞披露计划接受安全报告。
此次事件与丰田汽车的安全事故有何相似之处？
该事件与2022年10月发生的丰田汽车安全事故类似，都涉及GitHub访问密钥的泄露。丰田当时披露，由于GitHub访问密钥被暴露，客户个人信息在长达五年的时间里仍可被公开访问。
