2025年9月，Ruby Central公布了一起AWS根权限事件调查报告。事件起因是前维护人员在被移除管理权限后仍能访问RubyGems.org生产环境。调查确认用户数据和运营未受影响，但暴露了共享凭证未及时撤销及沟通不足的问题。Ruby Central已采取措施加强安全流程，确保开源基础设施的安全可靠。

RubyGems.org AWS根账户访问事件调查报告（2025年9月）

事件概述 2025年9月30日，Ruby Central公开披露了一起涉及AWS根账户的未授权访问事件。事件源于前维护人员André Arko在权限被撤销后仍保留访问权限，并通过共享凭证获取了AWS根账户控制权。经调查确认，虽然未发现用户数据或生产环境遭到破坏，但该事件暴露了严重的安全管理漏洞。

时间线关键节点 • 9月18日：Ruby Central通过邮件通知Arko终止其生产环境访问权限，但未同步更新AWS根账户密码 • 9月19日04:35：来自旧金山IP的未授权攻击者修改根账户密码 • 9月28日：东京IP进行权限探测（恰逢当地Ruby会议期间） • 9月30日： - 15:35 洛杉矶IP获取用户凭证（与公开披露的漏洞截图吻合） - 18:24 Ruby Central通过密码重置恢复控制

影响范围 经全面核查确认： ✓ RubyGems.org服务全程保持正常运行 ✓ 未发现用户个人信息、金融数据或代码库被访问 ✓ 生产数据库、S3存储桶和CI/CD管道未受影响

根本原因 1. 未及时轮换共享密码管理器中的AWS根凭证 2. 人员变更后未彻底清除外部可能存在的凭证副本

补救措施 已实施六项关键改进： 1. 撤销所有旧凭证，建立MFA保护的新凭证体系 2. 轮换Datadog、GitHub Actions等集成密钥 3. 启用AWS安全监控三重防护（CloudTrail/GuardDuty/Datadog） 4. 实施最小权限原则的IAM策略审查 5. 启动第三方安全审计 6. 更新安全手册，明确人员变更时的凭证轮换流程

事件背景 本次事件与Ruby Central改革运维模式直接相关。2025年8月预算审查期间，Arko提出以免费提供值班服务换取生产日志访问权（含用户PII数据），该提议因涉及隐私和利益冲突被董事会否决，最终促使组织决定建立新的运营架构。

后续承诺 • 完善权限撤销检查清单 • 建立定期凭证审查机制 • 制定正式的《操作员贡献者协议》 • 保持运营透明度，重建社区信任

（报告全文包含完整的时间戳记录、AWS操作日志分析和安全架构改进细节，可通过Ruby Central官网获取）

执行总监 Shan Cureton 2025年10月9日

以下是评论内容的总结：

1. 关于Arko的争议行为

   • 多篇评论指出Arko试图出售用户数据，并存在未经授权操作AWS账户的行为。
   • 关键引用：
     • "Arko wanted a copy of the HTTP Access logs from rubygems.org so his consultancy could monetize the data" (eutropia)
     • "Then after they removed him as a maintainer he logged in and changed the AWS root password." (eutropia)

2. 对Ruby Central安全管理的批评

   • 评论认为Ruby Central的安全措施不足，尤其是AWS根凭证管理和日志审计方面。
   • 关键引用：
     • "There's no actual control improvements here, just 'we'll follow our procedures better next time'" (andrewguenther)
     • "AWS account root access on a language package registry for 11 days...They're claiming 'no evidence of compromise' based on CloudTrail logs that AWS root could have deleted or modified." (ctoth)

3. 对事件报告的质疑

   • 评论认为事件报告缺乏细节，无法确保供应链完整性。
   • 关键引用：
     • "Overall this is a super disappointing postmortem..." (andrewguenther)
     • "Every gem published Sept 19-30 is suspect." (ctoth)

4. 关于隐私政策的讨论

   • 评论指出RubyGems现有的隐私政策已允许与第三方共享数据，与事件中的争议形成对比。
   • 关键引用：
     • "RubyGems Privacy Notice already tells you that they share information with a number of large firms..." (andrewmcwatters)
     • "If they really have ethical concerns regarding sharing data with third parties, maybe they should update their privacy policies accordingly?" (deng)

5. 对Ruby Central的辩护

   • 少数评论支持Ruby Central在危机处理中的表现。
   • 关键引用：
     • "Props to Ruby Central for taking all of the smears and reputational damage on the chin silently while they mitigated an actual security incident..." (busterarm)

6. 社区影响与替代方案

   • 部分评论建议建立更独立的gem分发系统，并担忧事件对Ruby生态的影响。
   • 关键引用：
     • "I think we need an f-droid-like project for Rubygems..." (phoronixrly)
     • "Time will tell but I do not feel good about rv going forward..." (kubectl_h)