GitHub обяви, че стартира безплатна услуга за проследяване на случайно публикувани конфиденциални данни в хранилищата, като ключове за криптиране, пароли за СУБД и токени за достъп до API. По-рано услугата бе достъпна само за участниците в програмата за бета тестване, а сега се предоставя без ограничения на всички публични хранилища. За да активирате проверката на вашето хранилище, в настройките в секцията „Сигурност на кода и анализ“ трябва да активирате опцията „Сканиране на тайната“.
Общо са реализирани над 200 шаблона за откриване на различни видове ключове, токени, сертификати и удостоверения. Търсенето на изтичане на информация се осъществява не само в кода, но и в резюмета, описания и коментари. За да се избегнат фалшиви сработвания, се проверяват само гарантирано определяеми типове токени, обхващащи над 100 различни услуги, включително Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems и Yandex.Cloud. Допълнително се поддържа изпращане на предупреждения при откриване на самоподписани сертификати и ключове.
През януари, по време на експеримент, бяха анализирани 14 хиляди хранилища, използващи GitHub Actions. В крайна сметка в 1110 хранилища (7.9%, т.е. почти в всяко дванадцато) бяха открити конфиденциални данни. Например, в хранилищата бяха открити 692 токена на GitHub App, 155 ключа на Azure Storage, 155 токена на GitHub Personal, 120 ключа на Amazon AWS и 50 ключа на Google API.
Източник: opennet.ru
