{"id":183679,"date":"2026-10-07T22:54:32","date_gmt":"2026-10-07T20:54:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/v-github-vyyavleno-543-tysyachi-ostavlennyh-v-repozitoriyah-dejstvuyushhih-tokenov-klyuchej-i-parolej"},"modified":"2026-10-07T22:54:38","modified_gmt":"2026-10-07T20:54:38","slug":"543000-active-tokens-keys-and-passwords-found-in-github-repositories","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/543000-active-tokens-keys-and-passwords-found-in-github-repositories","title":{"rendered":"GitHub har afsl\u00f8ret 543.000 aktive tokens, n\u00f8gler og adgangskoder efterladt i repositorier.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Virksomheden Truffle Security har offentliggjort resultaterne af en analyse af datal\u00e6kager i repositorier hostet p\u00e5 GitHub. I en scanning af 224 millioner repositorier, der indeholder 58 milliarder filer, blev der identificeret 543.000 unikke legitimationer (tokens, n\u00f8gler og adgangskoder), som stadig er aktive. De aktive legitimationer har v\u00e6ret tilg\u00e6ngelige i repositorierne i mindst et \u00e5r, da unders\u00f8gelsen brugte et snapshot af GitHub fra den 7. august sidste \u00e5r, og valideringen af legitimationerne, som blev udf\u00f8rt gennem testopkald til API'er, netv\u00e6rkstjenester og v\u00e6rter, fandt sted i slutningen af juli i \u00e5r. <\/p>\n
Den mediane tid, som legitimationer er tilg\u00e6ngelige offentligt, er vurderet til 784 dage, hvor de \u00e6ldste stadig aktive adgangsn\u00f8gler er dateret tilbage til 2009. Omkring 200.000 af de fundne aktive legitimationer blev tilf\u00f8jet til repositorier efter standardaktiveringen af GitHub's mekanisme til blokering af l\u00e6kager af fortrolige data og adgangstokens, som udf\u00f8rer kontrol i l\u00f8bet af publiceringsprocessen. L\u00e6kager blev ikke identificeret p\u00e5 grund af deres placering i formater, der ikke underst\u00f8ttes af det implementerede beskyttelsessystem, selvom aktiveringen af filtre reducerede l\u00e6kager af identificerede legitimationer med n\u00e6sten halvdelen. <\/p>\n
Det viste sig, at GitHub effektivt opdager l\u00e6kager af tokens til popul\u00e6re tjenester som GitHub, AWS, Slack, SendGrid, Stripe og GCP, men overser de efterladte databaseforbindelsesparametre, adgangsn\u00f8gler til Google API og private n\u00f8gler. Databaseforbindelsesparametre og private n\u00f8gler blokeres som standard ikke for at undg\u00e5 falske positiver. Adgangsn\u00f8gler til Google API blokeres ikke, da de har pr\u00e6fikset AIzaSy, ligesom de \u00e5bne n\u00f8gler fra Google Maps, der er beregnet til integration p\u00e5 web-sider. <\/p>\n
Hvad ang\u00e5r de fundne legitimationsoplysninger, der viste sig at v\u00e6re ugyldige, vedr\u00f8rer det meste af dem adgangstokens og n\u00f8gler relateret til tjenester, der tilbyder en tilbagekaldesmekanisme. For eksempel blev der ud af 101886 NPM-tokens kun identificeret \u00e9n aktiv (0,001%), ud af 73048 GitHub-tokens var 260 aktive (0,35%), og ud af 30437 Hugging Face-tokens var 15 aktive (0,05%). For Stripe-n\u00f8gler var overlevelsesraten 4%, AWS \u2013 8%, GCP \u2013 8%, Slack \u2013 2%, GitLab \u2013 0,64%. Til sammenligning forblev 11465 af de 12985 identificerede forbindelsesparametre til PostgreSQL-databaser aktive (88%), ud af 2421 forbindelsesparametre til MySQL var 1806 aktive (74%), ud af 126963 Google Cloud servicekonti var 69041 aktive (54%), ud af 3790 tokens til Docker Hub var 1244 aktive (33%), og ud af 22800 n\u00f8gler til SendGrid var 9189 aktive (40%). <\/p>\n