GitHub har annonceret lanceringen af en gratis tjeneste til at spore utilsigtet offentliggørelse af følsomme data i repositories, såsom krypteringsnøgler, databaseadgangskoder og API-adgangstokens. Tidligere var denne tjeneste kun tilgængelig for deltagere i beta-testprogrammet, men nu tilbydes den uden begrænsninger til alle offentlige repositories. For at aktivere kontrollen af dit repository i indstillingerne under sektionen 'Code security and analysis' skal du aktivere indstillingen 'Secret scanning'.
I alt er der implementeret over 200 skabeloner til identificering af forskellige typer nøgler, tokens, certifikater og legitimationsoplysninger. Søgningen efter lækager foretages ikke kun i koden, men også i issues, beskrivelser og kommentarer. For at undgå falske positiver kontrolleres kun typer af tokens, der garanteret kan identificeres, hvilket dækker over 100 forskellige tjenester, herunder Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems og Yandex.Cloud. Derudover understøttes der også at sende advarsler, når selvsignerede certifikater og nøgler opdages.
I januar blev der i løbet af et eksperiment analyseret 14.000 repositories, der bruger GitHub Actions. Som resultat blev der i 1110 repositories (7.9%, dvs. næsten hver tolvte) identificeret hemmelige data. For eksempel blev der i repositories identificeret 692 GitHub App tokens, 155 Azure Storage nøgler, 155 GitHub Personal tokens, 120 Amazon AWS nøgler og 50 Google API nøgler.
Kilde: opennet.ru
