Bitbucket Cloud ユーザーの皆様、

最近、Bitbucket の SSH ホストキーの暗号化されたコピーが、サードパーティー認証管理ベンダーのデータ侵害に含まれていたことが分かりました。SSH プロトコルは、git pull などの Bitbucket Cloud へのSSH 接続時に、信頼されたサーバーの身元を確立するためにホストキーを使用します。

これを受けて、Bitbucket は本日2つの新しい SSH ホストキーを発行し、2023年6月20日に現在のホストキーを置き換える予定です。以下に記載されている内容を確認し、できるだけ早く対応してください。

リスクは低いと考えていますが、ホストキーを積極的にローテーションすることで、古いホストキーが解読された場合の将来のリスクを軽減します。ホストキーを変更しなかった場合、攻撃者が既に侵害されたネットワークと組み合わせて古いホストキーを使用し、クライアントを悪意のあるホストに接続して信頼させる可能性があります。

攻撃者は古いホストキーを直接使用して Bitbucket Cloud 上のデータにアクセスしたり、プライベートの SSH キーにアクセスしたりすることはできませんので、ご安心ください。

私たちは、ホストキーのローテーションが混乱を招く可能性があることを理解しています。セキュリティは常に私たちの最優先事項であり、積極的な対応が最善の方法だと考えています。

詳細は以下をお読みください。

Bala Sathiamurthy, CISO/Head of Security