GitHub hat die Einführung eines kostenlosen Dienstes zur Überwachung zufälliger Veröffentlichungen in Repositories vertraulicher Daten wie Verschlüsselungsschlüssel, Datenbankpasswörter und API-Zugriffstokens angekündigt. Zuvor war dieser Dienst nur für Teilnehmer des Beta-Testprogramms verfügbar, wird jetzt jedoch ohne Einschränkungen für alle öffentlichen Repositories bereitgestellt. Um die Überprüfung Ihres Repositories in den Einstellungen im Abschnitt 'Code-Sicherheit und Analyse' zu aktivieren, muss die Option 'Secret Scanning' aktiviert werden.
Insgesamt wurden mehr als 200 Vorlagen zur Erkennung verschiedener Arten von Schlüsseln, Tokens, Zertifikaten und Anmeldeinformationen realisiert. Die Suche nach Lecks erfolgt nicht nur im Code, sondern auch in Issues, Beschreibungen und Kommentaren. Um Fehlalarme auszuschließen, werden nur garantiert identifizierbare Token-Typen überprüft, die mehr als 100 verschiedene Dienste abdecken, darunter Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems und Yandex.Cloud. Zusätzlich wird die Versendung von Warnungen bei der Entdeckung von selbstsignierten Zertifikaten und Schlüsseln unterstützt.
Im Januar wurden im Rahmen eines Experiments 14.000 Repositories analysiert, die GitHub Actions verwenden. Infolgedessen wurden in 1.110 Repositories (7,9 %, also fast in jedem zwölften) vertrauliche Daten gefunden. Zum Beispiel wurden in den Repositories 692 GitHub-App-Tokens, 155 Azure-Storage-Schlüssel, 155 GitHub-Personal-Token, 120 Amazon-AWS-Schlüssel und 50 Google-API-Schlüssel entdeckt.
Quelle: opennet.ru
