GitHub oznámil spuštění bezplatné služby pro sledování náhodného zveřejnění citlivých dat v repozitářích, jako jsou šifrovací klíče, hesla k databázím a přístupové tokeny k API. Dříve byla tato služba dostupná pouze pro účastníky beta testování, nyní je však nabízena bez omezení všem veřejným repozitářům. Pro zahrnutí kontroly vlastního repozitáře je třeba v nastavení v sekci „Bezpečnost kódu a analýza“ aktivovat možnost „Skenování tajemství“.
Celkem bylo implementováno více než 200 šablon pro identifikaci různých typů klíčů, tokenů, certifikátů a přihlašovacích údajů. Vyhledávání úniků se provádí nejen v kódu, ale také v issue, popisech a komentářích. Pro vyloučení falešných poplachů jsou kontrolovány pouze garantované typy tokenů, pokrývající více než 100 různých služeb, včetně Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems a Yandex.Cloud. Dále je podporováno zasílání upozornění při odhalení samopodepsaných certifikátů a klíčů.
V lednu bylo v rámci experimentu analyzováno 14 000 repozitářů využívajících GitHub Actions. Nakonec bylo v 1110 repozitářích (7,9 %, tj. téměř v každém dvanáctém) zjištěno přítomnost tajných dat. Například v repozitářích bylo nalezeno 692 tokenů GitHub App, 155 klíčů Azure Storage, 155 tokenů GitHub Personal, 120 klíčů Amazon AWS a 50 klíčů Google API.
Zdroj: opennet.ru
