GitHub hà annunziatu l'intruduzione di un serviziu gratuitu per seguità a publicazione accidentale di dati sensibili in i repositori, cum'è e chjave di criptografia, password DBMS è tokens d'accessu API. Nanzu, stu serviziu era dispunibule solu per i participanti in u prugramma di prova beta, ma avà hà cuminciatu à esse furnitu senza restrizioni à tutti i repositori publichi. Per attivà a scansione di u vostru repository, in i paràmetri in a sezione "Securità è analisi di u codice", duvete attivà l'opzione "Scanning sicretu".
In totale, più di 200 mudelli sò stati implementati per identificà diversi tipi di chjave, tokens, certificati è credenziali. A ricerca di fughe hè realizata micca solu in u codice, ma ancu in i prublemi, descrizzioni è cumenti. Per eliminà i falsi pusitivi, sò verificati solu i tipi di token garantiti, chì coprenu più di 100 servizii diffirenti, cumprese Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems è Yandex.Cloud. Inoltre, supporta l'invio di avvisi quandu i certificati è e chjave autofirmati sò rilevati.
In ghjennaghju, l'esperimentu analizò 14 mila repository utilizendu GitHub Actions. In u risultatu, a prisenza di dati secreti hè stata rilevata in i repositori 1110 (7.9%, vale à dì quasi ogni dodicesimu). Per esempiu, 692 GitHub App tokens, 155 Azure Storage keys, 155 GitHub Personal tokens, 120 Amazon AWS keys, è 50 Google API keys sò stati identificati in i repositori.
Source: opennet.ru