GitHub реализира проверка на изтичане на конфиденциални данни в репозиторите

GitHub обяви въвеждането на безплатен сервис за проследяване на случайни публикации в репозиториите с чувствителни данни, като ключове за криптиране, пароли за СУБД и токени за достъп до API. Преди това услугата беше достъпна само за участниците в бета тестовата програма, а сега започва да се предлага без ограничения на всички публични репозитории. За да активирате проверката на своя репозиторий, в настройките в секцията „Сигурност на кода и анализ“ трябва да активирате опцията „Сканиране на тайни“.

Общо са реализирани над 200 шаблона за откриване на различни видове ключове, токени, сертификати и удостоверения. Проверка за изтичане на данни се извършва не само в кода, но и в issue записи, описания и коментари. За да се избегнат фалшиви срабатывания, се проверяват само гарантированно определяеми типове токени, обхващащи над 100 различни услуги, включително Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems и Yandex.Cloud. Допълнително се поддържа изпращането на предупреждения при откриване на самоподписани сертификати и ключове.

През януари, в рамките на експеримент, бяха анализирани 14 хиляди репозитория, използващи GitHub Actions. В резултат в 1110 репозитория (7.9%, т.е. почти всеки дванадесети) бяха открити секретни данни. Например, в репозиториите бяха намерени 692 токена на GitHub App, 155 ключа на Azure Storage, 155 токена на GitHub Personal, 120 ключа на Amazon AWS и 50 ключа на Google API.

Източник: opennet.ru