เครื่องมือ OSGINT สร้างความกังวลด้านความเป็นส่วนตัวเมื่อผู้ใช้พบความสามารถในการดึงอีเมล

ผู้ใช้ GitHub กำลังแสดงปฏิกิริยาที่หลากหลายต่อ OSGINT ซึ่งเป็นเครื่องมือที่ออกแบบมาเพื่อดึงข้อมูลส่วนบุคคลจากโปรไฟล์ GitHub โดยเฉพาะความกังวลเกี่ยวกับความสามารถในการค้นหาที่อยู่อีเมลที่ผู้ใช้อาจตั้งใจเก็บไว้เป็นส่วนตัว

OSGINT ที่พัฒนาโดยผู้ใช้ชื่อ Hippie อนุญาตให้ทุกคนสามารถดึงข้อมูลเกี่ยวกับผู้ใช้ GitHub โดยการค้นหาชื่อผู้ใช้หรือที่อยู่อีเมล แม้ว่าเครื่องมือนี้จะรวบรวมข้อมูลที่เปิดเผยต่อสาธารณะเป็นหลัก เช่น รายละเอียดโปรไฟล์ จำนวนที่เก็บ และวันที่สร้าง แต่ความสามารถในการดึงที่อยู่อีเมลจากแหล่งต่างๆ ได้จุดประเด็นการถกเถียงเรื่องความเป็นส่วนตัวในชุมชนนักพัฒนา

ความสามารถในการดึงอีเมล

เครื่องมือนี้ใช้หลายวิธีในการค้นหาอีเมลของผู้ใช้ รวมถึงการสแกนการคอมมิตที่เปิดเผยต่อสาธารณะ การถอดรหัสคีย์ GPG และแม้กระทั่งการปลอมแปลงการคอมมิตเพื่อเปิดเผยที่อยู่อีเมลที่เกี่ยวข้อง วิธีการที่ครอบคลุมนี้หมายความว่า OSGINT มักจะสามารถค้นหาที่อยู่อีเมลที่ผู้ใช้อาจไม่รู้ตัวว่าสามารถเข้าถึงได้โดยสาธารณะ

ผู้ใช้คนหนึ่งที่ทดสอบเครื่องมือนี้ยืนยันว่าสามารถดึงข้อมูลโปรไฟล์ของพวกเขาได้อย่างถูกต้อง แต่สังเกตว่ายังรวบรวมอีเมลจากผู้มีส่วนร่วมในที่เก็บของพวกเขา ซึ่งอาจสร้างความสับสนเกี่ยวกับอีเมลใดที่เป็นของผู้ใช้เป้าหมายจริงๆ:

ค่อนข้างตรงจุด ยกเว้นอีเมล อีเมลที่มีชื่อผู้ใช้ zellyn ถูกต้อง ส่วนอื่นๆ เป็นของคนที่มีส่วนร่วมในการเปลี่ยนแปลงที่เก็บที่ฉันสร้าง (ฉันคิดว่าอย่างนั้น)

คุณสมบัติของ OSGINT

• ค้นหาชื่อผู้ใช้ GitHub จากอีเมล
• ค้นหาอีเมลจากชื่อผู้ใช้ GitHub (ไม่ประสบความสำเร็จเสมอไป)
• ดึงข้อมูลโปรไฟล์ซึ่งรวมถึง:
  • วันที่สร้างบัญชี
  • Gists สาธารณะ
  • รหัสผู้ใช้
  • คีย์ PGP สาธารณะ
  • คีย์ SSH สาธารณะ

วิธีการค้นหาอีเมล

• สแกนการคอมมิตสาธารณะทั้งหมดเพื่อหาอีเมลที่ไม่ได้ซ่อน
• ถอดรหัสคีย์ GPG เพื่อดึงข้อมูลอีเมล
• สอบถามข้อมูลผ่าน API ผู้ใช้ GitHub
• ปลอมแปลงการคอมมิตด้วยอีเมลเป้าหมายเพื่อตรวจสอบประวัติการคอมมิต

ความกังวลเรื่องความเป็นส่วนตัวและประโยชน์ใช้สอย

ปฏิกิริยาของชุมชนเน้นย้ำความกังวลที่สำคัญเกี่ยวกับผู้ที่ได้ประโยชน์จากเครื่องมือดังกล่าว ผู้ใช้หลายคนตั้งคำถามว่า OSGINT ให้บริการเพื่อวัตถุประสงค์ในการวิจัยด้านความปลอดภัยที่ถูกต้องหรือเพียงแค่ช่วยให้ผู้ส่งสแปมและนักสรรหาบุคลากรรวบรวมข้อมูลติดต่อได้อย่างมีประสิทธิภาพมากขึ้น ผู้แสดงความคิดเห็นคนหนึ่งถามตรงๆ ว่า ใครได้ประโยชน์จากสิ่งนี้นอกจากผู้ส่งสแปม? ในขณะที่อีกคนหนึ่งบ่นว่า ในขณะที่นักสรรหาบุคลากรกำลังหยุดส่งสแปมให้ฉันผ่าน GitHub...

นักพัฒนาบางคนชี้ให้เห็นว่าข้อมูลส่วนใหญ่ที่ OSGINT รวบรวมนั้นมองเห็นได้อยู่แล้วบนหน้าโปรไฟล์ GitHub โดยมีที่อยู่อีเมลเป็นข้อยกเว้นหลัก คนอื่นๆ แนะนำวิธีที่ง่ายกว่าในการเข้าถึงข้อมูลเดียวกัน เช่น การเพิ่ม .patch ต่อท้าย URL ของการคอมมิต

เครื่องมือที่คล้ายกันในระบบนิเวศ

การอภิปรายยังเปิดเผยว่า OSGINT ไม่ใช่เครื่องมือเดียวในพื้นที่นี้ บริการอื่นชื่อ RepoReach ถูกกล่าวถึงว่ามีฟังก์ชันการทำงานที่คล้ายกัน แม้ว่าผู้ใช้จะแสดงความกังวลเพิ่มเติมเกี่ยวกับการขาดความโปร่งใสของแพลตฟอร์มนั้นเกี่ยวกับนโยบายความเป็นส่วนตัวและข้อกำหนดในการลงทะเบียน

เมื่อเครื่องมือข่าวกรองแบบเปิด (OSINT) กลายเป็นสิ่งที่เข้าถึงได้ง่ายและมีประสิทธิภาพมากขึ้น ชุมชน GitHub ยังคงถกเถียงเกี่ยวกับความสมดุลระหว่างความโปร่งใส การวิจัยด้านความปลอดภัย และความเป็นส่วนตัวส่วนบุคคล สำหรับนักพัฒนาที่กังวลเกี่ยวกับร่องรอยดิจิทัลของพวกเขา การอภิปรายเหล่านี้เน้นย้ำถึงความสำคัญของการเข้าใจว่าข้อมูลส่วนบุคคลใดที่อาจเข้าถึงได้โดยสาธารณะผ่านการมีส่วนร่วมในโค้ดและรายละเอียดโปรไฟล์ของพวกเขา

ผู้ใช้บางคนตอบสนองด้วยอารมณ์ขัน ชี้ให้เห็นถึงการปฏิบัติในการใช้นามแฝงแทนชื่อจริงบน GitHub โดยเชื่อมโยงไปยังโปรไฟล์เช่น elonmusk และ donaldtrump เป็นตัวอย่างของวิธีที่ผู้ใช้บางคนรักษาความเป็นส่วนตัวผ่านการไม่เปิดเผยตัวตนมากกว่ามาตรการทางเทคนิค

อ้างอิง: OSGINT