微课 | 从超10万个GitHub代码库泄露密钥谈角色 – AWS实战(27)

前导课程：
微课 | IAM的组与策略 – AWS实战(26)

本次微课包括视频+文字，大约需要你13分钟。另外，文末还有一则IT冷笑话，学习之余、会心一笑:)

2017年北卡罗来纳州立大学（NCSU）的团队开展的一项学术研究的课题。他们研究人员从2017年10月31日至2018年4月20日，扫描了多个 GitHub 帐户，扫描时间持续近六个月，寻找API令牌和加密密钥等格式的文本字符串。

他们扫描了GitHub公共代码库总数中13%的数十亿个文件后发现，超过100000个代码库泄露了API令牌和加密密钥，每天数千个新的代码库在泄露新的秘密内容。

这包括谷歌、亚马逊、Twitter、Facebook、Mailchimp、MailGun、Stripe、Twilio、Square、Braintree 和 Picatic 使用的AP 密钥格式。

他们发表了一篇研究论文：《How Bad Can It Git? Characterizing Secret Leakage in Public GitHub Repositories》

下载地址（也可查看本文章的原文链接）：
https://www.ndss-symposium.org/wp-content/uploads/2019/02/ndss2019_04B-3_Meli_paper.pdf

如何来解决这个问题呢？有很多方法。如果是在AWS中，其中一种方法是使用AWS的角色。

IAM角色是可在你AWS账户中创建的一种具有特定权限的IAM身份。角色有些类似于用户，咱们可以通过角色附加策略来实现授权，比如可以允许一个角色可以以只读方式来访问S3资源。

但是，角色与用户也有区别：用户验证方式是通过用户名密钥、AKSK来验证的，而IAM角色不需要验证，所以它没有关联的安全凭据，比如密码、密钥等。

咱们将通过两次微课来学习角色，下面是第一个视频：

[iframe]https://v.qq.com/iframe/preview.html?width=500&height=375&auto=0&vid=p0891lqi32c[/iframe]

其它系列微课索引：
《OpenStack初识》
《Nmap初识》

《Wireshark初识》

《“锦囊”系列》
《Linux群集基础》

《存储基础知识》

《从零开始构建自己的Linux》

《Bash Shell编程中Linux命令鸟瞰》
《Linux防火墙20讲》

每年感冒几次，相当于升级病毒库了。

微课 | 从超10万个GitHub代码库泄露密钥谈角色 – AWS实战(27)

浏览过的版块