GitHub включи по подразбиране система за защита от изтичане на токени за API

GitHub обяви, че е активирал автоматичната защита за всички публични репозитории срещу случайното попадане на конфиденциални данни, оставени от разработчиците в кода. Например, понякога в репозитории могат да попаднат конфигурационни файлове с пароли за бази данни, токени или ключове за достъп до API. Преди сканирането се извършваше в пасивен режим и позволяваше откриването на вече настъпили изтичания, влизащи в репозиторий. Сега проверката се извършва автоматично в момента на публикуване (git push) и води до издаване на предупреждение при опит за добавяне на комити, в които са открити конфиденциални данни.

Реализирани са над 250 шаблона за откриване на различни видове ключове, токени, сертификати и удостоверения. За избягване на фалшиви сработвания се проверяват само гарантирано определяеми типове токени, обхващащи над 180 различни услуги, включително Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems и Yandex.Cloud. След откритие на потенциално изтичане на информация, на разработчика се предлага да прегледа проблемния код, да отстрани изтичането и да повтори комита или да маркира блокировката като фалшива.

Източник: opennet.ru