Společnost Truffle Security zveřejnila výsledky analýzy úniků přihlašovacích údajů v repozitářích umístěných na GitHubu. Při skenování 224 milionů repozitářů obsahujících 58 miliard souborů bylo zjištěno 543 tisíc unikátních přihlašovacích údajů (tokenů, klíčů a hesel), které jsou stále platné. Tyto platné údaje zůstávaly v repozitářích minimálně rok, protože výzkum využíval snapshot GitHubu z 7. srpna loňského roku a ověření aktuálnosti přihlašovacích údajů, realizované prostřednictvím pokusných hovorů k API, síťovým službám a hostitelům, bylo provedeno na konci července letošního roku.
Medián doby, po kterou byly přihlašovací údaje veřejně dostupné, byl odhadnut na 784 dní, přičemž nejstarší stále platné přístupové klíče pocházely z roku 2009. Asi 200 tisíc nalezených platných přihlašovacích údajů bylo umístěno do repozitářů poté, co byl na GitHubu ve výchozím nastavení aktivován mechanismus pro blokování úniků citlivých dat a přístupových tokenů, který provádí kontrolu v okamžiku provádění push požadavků. Úniky nebyly rozpoznány kvůli umístění v formátech, které nejsou podporovány implementovanou ochranou, přičemž přímé aktivace filtrů přibližně o polovinu snížily úniky rozpoznávaných přihlašovacích údajů.
Ukázalo se, že GitHub úspěšně odhaluje úniky tokenů k běžným službám, jako jsou GitHub, AWS, Slack, SendGrid, Stripe a GCP, ale propouští ponechané parametry připojení k databázím, přístupové klíče k API Google a soukromé klíče. Parametry připojení k databázím a soukromé klíče nejsou ve výchozím nastavení blokovány, aby se předešlo falešným poplachům. Přístupové klíče k API Google nejsou blokovány, protože mají prefix AIzaSy, jako otevřené klíče Google Maps, určené k integraci na webové stránky.
Pokud jde o nalezené přihlašovací údaje, které se ukázaly jako nefunkční, většina z nich se týká přístupových tokenů a klíčů spojených se službami, které poskytují mechanismus pro odvolání. Například z 101886 NPM tokenů byl identifikován pouze jeden funkční (0,001 %), z 73048 GitHub tokenů – 260 (0,35 %), a z 30437 Hugging Face tokenů – 15 (0,05 %). Pro klíče Stripe byla míra přežití 4 %, pro AWS – 8 %, pro GCP – 8 %, pro Slack – 2 %, pro GitLab – 0,64 %. Pro srovnání z 12985 identifikovaných připojovacích parametrů k databázi PostgreSQL zůstalo aktivních 11465 (88 %), z 2421 připojovacích parametrů k MySQL – 1806 (74 %), z 126963 služebních účtů Google Cloud – 69041 (54 %), z 3790 tokenů pro Docker Hub – 1244 (33 %), a z 22800 klíčů pro SendGrid – 9189 (40 %).
Předtím výzkumníci prozkoumali přibližně 7,5 PB dat pro trénink AI modelů, distribuovaných prostřednictvím Hugging Face, a odhalili v nich 221 tisíc funkčních přihlašovacích údajů.
Zdroj: opennet.ru
