Cyhoeddodd GitHub ei fod wedi cryfhau amddiffyniad yn erbyn data sensitif a adawyd yn anfwriadol yn y cod gan ddatblygwyr rhag mynd i mewn i'w storfeydd. Er enghraifft, mae'n digwydd bod ffeiliau ffurfweddu gyda chyfrineiriau DBMS, tocynnau neu allweddi mynediad API yn y storfa yn y pen draw. Yn flaenorol, cynhaliwyd sganio yn y modd goddefol a'i gwneud yn bosibl nodi gollyngiadau a oedd eisoes wedi digwydd ac a oedd wedi'u cynnwys yn yr ystorfa. Er mwyn atal gollyngiadau, mae GitHub hefyd wedi dechrau darparu opsiwn i rwystro ymrwymiadau sy'n cynnwys data sensitif yn awtomatig.
Cynhelir y gwiriad yn ystod gwthio git ac mae'n arwain at gynhyrchu rhybudd diogelwch os canfyddir tocynnau ar gyfer cysylltu ag APIs safonol yn y cod. Mae cyfanswm o 69 o dempledi wedi'u rhoi ar waith i nodi gwahanol fathau o allweddi, tocynnau, tystysgrifau a manylion adnabod. Er mwyn dileu pethau cadarnhaol ffug, dim ond mathau o docynnau gwarantedig sy'n cael eu gwirio. Ar Γ΄l bloc, gofynnir i'r datblygwr adolygu'r cod problemus, trwsio'r gollyngiad, ac ailymrwymo neu farcio'r bloc fel un ffug.
Ar hyn o bryd, dim ond i sefydliadau sydd Γ’ mynediad at wasanaeth Diogelwch Uwch GitHub y mae'r opsiwn ar gyfer rhwystro gollyngiadau yn rhagweithiol ar gael. Mae sganio modd goddefol yn rhad ac am ddim i bob storfa gyhoeddus, ond mae'n parhau i gael ei dalu am gadwrfeydd preifat. Dywedir bod sganio goddefol eisoes wedi nodi mwy na 700 mil o ollyngiadau o ddata cyfrinachol mewn cadwrfeydd preifat.
Ffynhonnell: opennet.ru