DockerHub, il repository ufficiale delle immagini Docker, è stato compromesso

Il 25 di aprile scorso, quindi meno di cinque giorni fa, il repository principale delle immagini dei container docker, DockerHub è stato compromesso.

Kent Lamb, direttore del supporto Docker, ha inviato una mail (riportata ad esempio da gbhackers.com) specificando:

On Thursday, April 25th, 2019, we discovered unauthorized access to a single Hub database storing a subset of non-financial user data.
Giovedì 25 aprile 2019 abbiamo scoperto un accesso non autorizzato ad un singolo database dell’Hub contenente dati degli utenti non fiscali.

Quindi, se dati di pagamento e altre informazioni sensibili paiono essere al sicuro, c’è comunque da stare poco allegri, poiché le stime generali parlano di dati rubati per almeno 190 mila utenti (fonte ZDNet).

Cosa è possibile fare per evitare guai? Sicuramente cambiare la propria password sul portale https://hub.docker.com e, se avete dei meccanismi automatizzati per effettuare build sull’hub, quindi ad esempio account GitHub che tramite autenticazione oauth (e relativi token) si connettono alla vostra utenza DockerHub, effettuare dei nuovi login in modo da riallineare tutto con le nuove password impostate.

Poco altro da aggiungere, se non che queste sono cose che succedono. L’unica cosa realmente sicura nell’informatica è la sua insicurezza, pertanto è necessario riservare sempre la consueta attenzione.

Poi vien da sé, da oggi anche DockerHub farà capolino su https://haveibeenpwned.com/