GitHub hat die Sicherheitsmaßnahmen zur Verhinderung des versehentlichen Einbringens vertraulicher Daten in Repositories verstärkt, die von Entwicklern im Code hinterlassen werden. Es kommt beispielsweise vor, dass Konfigurationsdateien mit Passwörtern für Datenbanken, Tokens oder Zugriffsschlüssel zu APIs in ein Repository gelangen. Zuvor wurde das Scannen im passiven Modus durchgeführt, um bereits stattgefundene Lecks zu identifizieren, die in das Repository gelangt sind. Um Lecks zu verhindern, bietet GitHub nun zusätzlich die Möglichkeit, Commits automatisch zu blockieren, in denen vertrauliche Daten erkannt werden.
Die Überprüfung erfolgt beim Ausführen von git push und führt zu einer Warnmeldung über die Verletzung der Sicherheit, wenn Tokens für die Verbindung zu gängigen APIs im Code gefunden werden. Insgesamt wurden 69 Vorlagen zur Erkennung verschiedener Arten von Schlüsseln, Tokens, Zertifikaten und Anmeldedaten implementiert. Um falsche Alarme zu vermeiden, werden nur eindeutig identifizierbare Token-Typen überprüft. Nach einer Blockierung wird dem Entwickler empfohlen, den problematischen Code zu überprüfen, das Leck zu beseitigen und den Commit zu wiederholen oder die Blockierung als falsch zu kennzeichnen.
Die Option zur präventiven Blockierung von Lecks steht derzeit nur Organisationen zur Verfügung, die Zugriff auf den Dienst „GitHub Advanced Security“ haben. Die passive Scanfunktion wird kostenlos für alle öffentlichen Repositories angeboten, bleibt jedoch gebührenpflichtig für private Repositories. Es wird berichtet, dass das passive Scannen bereits über 700.000 Lecks vertraulicher Daten in privaten Repositories identifiziert hat.
Quelle: opennet.ru
