Virksomheden Truffle Security har offentliggjort resultaterne af en analyse af datalækager i repositorier hostet på GitHub. I en scanning af 224 millioner repositorier, der indeholder 58 milliarder filer, blev der identificeret 543.000 unikke legitimationer (tokens, nøgler og adgangskoder), som stadig er aktive. De aktive legitimationer har været tilgængelige i repositorierne i mindst et år, da undersøgelsen brugte et snapshot af GitHub fra den 7. august sidste år, og valideringen af legitimationerne, som blev udført gennem testopkald til API'er, netværkstjenester og værter, fandt sted i slutningen af juli i år.
Den mediane tid, som legitimationer er tilgængelige offentligt, er vurderet til 784 dage, hvor de ældste stadig aktive adgangsnøgler er dateret tilbage til 2009. Omkring 200.000 af de fundne aktive legitimationer blev tilføjet til repositorier efter standardaktiveringen af GitHub's mekanisme til blokering af lækager af fortrolige data og adgangstokens, som udfører kontrol i løbet af publiceringsprocessen. Lækager blev ikke identificeret på grund af deres placering i formater, der ikke understøttes af det implementerede beskyttelsessystem, selvom aktiveringen af filtre reducerede lækager af identificerede legitimationer med næsten halvdelen.
Det viste sig, at GitHub effektivt opdager lækager af tokens til populære tjenester som GitHub, AWS, Slack, SendGrid, Stripe og GCP, men overser de efterladte databaseforbindelsesparametre, adgangsnøgler til Google API og private nøgler. Databaseforbindelsesparametre og private nøgler blokeres som standard ikke for at undgå falske positiver. Adgangsnøgler til Google API blokeres ikke, da de har præfikset AIzaSy, ligesom de åbne nøgler fra Google Maps, der er beregnet til integration på web-sider.
Når det kommer til de fundne loginoplysninger, der viste sig at være ubrugelige, vedrører størstedelen af dem adgangstokens og nøgler relateret til tjenester, der tilbyder tilbagekaldesystemer. For eksempel, af de 101886 NPM-tokens blev kun én aktiv (0,001 %), af 73048 GitHub-tokens var 260 aktive (0,35 %), og ud af 30437 Hugging Face-tokens var 15 aktive (0,05 %). For Stripe-nøglerne var overlevelsesraten 4 %, AWS – 8 %, GCP – 8 %, Slack – 2 %, GitLab – 0,64 %. Til sammenligning forblev 11465 (88 %) af de 12985 opdagede tilslutningsparametre til PostgreSQL aktiv, 1806 (74 %) af 2421 MySQL-tilslutningsparametre, 69041 (54 %) af 126963 Google Cloud-servicekonti, 1244 (33 %) af 3790 Docker Hub-tokens, og 9189 (40 %) af 22800 SendGrid-nøgler.
Tidligere undersøgte forskere omkring 7,5 PB data til træning af AI-modeller, distribueret gennem Hugging Face, og identificerede 221.000 aktive loginoplysninger i disse.
Kilde: opennet.ru
