در اکوسیستم نرم‌افزارهای متن‌باز (Open Source Software)، مهاجمان به‌طور گسترده‌ای بر سرقت اعتبارنامه‌ها (Credentials) در محیط‌های CI/CD تمرکز کرده‌اند. دلیل اصلی این توجه، سطح دسترسی بسیار بالای این توکن‌ها و کلیدها است که می‌تواند به مهاجم اجازه دهد به بخش‌های حیاتی چرخه حیات توسعه نرم‌افزار دسترسی پیدا کند.
تاثیر دسترسی به محیط CI/CD
بسته به سطح دسترسی (Privileges) تعریف شده برای این اعتبارنامه‌ها، یک مهاجم می‌تواند به موارد زیر دست یابد:
- کد منبع (Source Code): دسترسی به مخازن کد برای شناسایی آسیب‌پذیری‌های جدید یا تزریق بدافزار.
- سیستم‌های Build: دستکاری در فرآیند کامپایل و بسته‌بندی نرم‌افزار.
- رجیستری‌های بسته (Package Registries): انتشار نسخه‌های آلوده از کتابخانه‌ها برای کاربران نهایی.
- زیرساخت‌های ابری (Cloud Infrastructure): نفوذ به محیط‌های میزبان و سرورهای مدیریت.
- توزیع در محیط عملیاتی (Production Delivery): دسترسی مستقیم به محیط Production و تغییر در سرویس‌های فعال.
این رویکرد نشان می‌دهد که مهاجمان به جای هدف قرار دادن مستقیم سرورها، ترجیح می‌دهند از طریق زنجیره تامین (Supply Chain) و با سوءاستفاده از اعتماد به بسته‌های OSS، به کل زیرساخت سازمان نفوذ کنند.
