Security and privacy concerns in shared configuration repositories

Abstract

Der Begriff "dotfiles" bezeichnet Textdateien, die zur Konfiguration in UNIX Systemen genutzt werden. In den letzten Jahren hat sich eine Gemeinschaft gebildet, in welcher sich über solche Softwarekonfigurationen ausgetauscht wird. Repositories mit solchen Dateien sind auch auf GitHub zu finden und können als spezifische Gruppe betrachtet werden. Obwohl diese Dateien sehr personalisiert sind, enthalten sie auf den ersten Blick keine sicherheitskritischen Informationen. Bei näherer Betrachtung ergeben sich aber eine Reihe von möglichen Problemen die zu beachten sind: von Passwörtern und API-Schlüsseln hin zu persönlich identifizierbaren Daten (PII). Wir verwendeten zwei verschiedene Ansätze, um dieses Phänomen zu quantifizieren. Um das Ausmaß und die Art möglicher Sicherheits- und Privatspähreprobleme zu erörtern, führten wir eine Analyse von 124.230 öffentlichen Repositories auf GitHub durch. In einem iterativen Prozess fanden wir mögliche Lücken in 73,6% der Repositories. In einem zweiten Schritt kontaktierten wir die betroffenen Author:innen und führten zeitgleich eine Umfrage (n=1.650) durch, um die Motivation für das Teilen von Konfigurationsdateien und das Wissen bezüglich Sicherheit und Privatsphäre zu erörtern. Wir fanden heraus, dass wichtige Gründe für das Teilen ideologischer Natur sind, eine soziale Ursache haben (zum Beispiel Angeben) oder in Bequemlichkeit zu finden sind. Die meisten Benutzer:innen sind zuversichtlich, was die Sicherheit ihrer Daten betrifft und geben an, die Sicherheitsaspekte gut zu verstehen. Schlussendlich geben wir noch Empfehlungen an Plattformbetreiber:innen und Nutzer:innen um dieses Feld sicherer zu gestalten.

Dotfiles is a common term for text-only configuration files in the UNIX ecosystem. A community of sharing and exchanging of these files has formed in the last years. Configuration files, therefore, constitute a highly idiosyncratic domain of GitHub repositories. They are highly personalized but do not pose a potential threat at first glance. But on closer examination, they may provide a range of potential pitfalls, from passwords and API keys to personally identifiable information (PII). We used a twofold approach to analyze these issues. To find out the extent and existence of such issues, we conducted a large-scale analysis of 124,230 public dotfiles repositories on GitHub. In an iterative process, we found issues in 73.6% of the repositories. We then contacted the authors and did a large-scale survey (n=1,650) on their motivation for sharing and their security considerations. We found that the main reasons for sharing are ideological, to show off (\enquote{ricing}), and to ease machine setup. Most users are confident about the contents of their files and claim to understand the security implications. After our search, we provide recommendations for Platforms as well as users to make this domain more secure.