美国网络安全与基础设施安全局(CISA[美国网络安全与基础设施安全局])的一项重大数据泄露事件近日被网络安全专家发现并披露，引发业内震动。据知名安全研究员Brian Krebs报道，CISA至少自2025年11月以来的重要资产在GitHub[代码托管平台]的公共仓库中被暴露出来，包含大量明文密码、SSH私钥、安全令牌等敏感信息。
事件被最初发现时，该GitHub仓库(Passive-CISA)已处于关闭状态。这一发现是由GitGuardian的安全专家Guillaume Valadon在对公共仓库代码进行例行扫描时作出的警示。据Krebs报道，Valadon向其提供了具体信息后，才得到关于这一仓库的关键数据。
Krebs在报道中指出一个关键细节：这个现在已关闭的仓库过去确实是公开状态，且其提交记录显示，GitHub默认的安全防护机制已被管理员关闭。GitHub平台本身就有防止开发者无意中提交敏感信息的技术——如果这个功能是开启状态，所有试图推送包含敏感信息代码的仓库都会被阻止。
这次泄露事件暴露了CISA在网络安全管理上的重大疏忽，引发了业内对美国政府网络安全措施的质疑。特别是对于如此重要的机构来说，在公共代码仓库中遗留这么多安全关键信息，实在令人担忧。
根据Krebs描述的专业分析，这个泄露的仓库包含的数据远不止是简单的凭证。它包括了CISA系统的登录密码、SSH私钥以及其他形式的安全令牌，这些都是可以被用于进行横向移动或更深入攻击的高价值资产。CISA是美国政府负责网络安全和关键基础设施保护的重要部门，其数据被泄露显然会对国家安全产生影响。
这一事件凸显了开源代码托管平台在安全管理方面存在的挑战。尽管GitHub提供了强大的安全工具，但许多用户往往忽视配置的重要性。
业内专家表示，《Passive-CISA》仓库的开放时间可能远早于2025年11月，因为直到那时才被发现。这一情况表明CISA的内部系统管理存在严重漏洞。
从技术角度看，《Passive-CISA》仓库被关闭，说明CISA已经意识到这一风险并采取了行动。然而，Krebs的发现表明这起事件的影响或许更为深远。
具体而言，CISA的这一疏忽可能导致以下几个方面的问题：
内容声明
本文内容基于公开市场信息与媒体报道进行整理，部分观点来自社区讨论。如涉及事实性问题，欢迎通过 xurj005@163.com 与我们指正，我们将及时核实并更新。
