GitHub hat bekannt gegeben, dass ab sofort für alle öffentlichen Repositories ein Schutzmechanismus gegen das versehentliche Hochladen vertraulicher Daten, die von Entwicklern im Code hinterlassen wurden, standardmäßig aktiviert ist. Es kommt beispielsweise vor, dass Konfigurationsdateien mit Datenbankpasswörtern, Tokens oder API-Zugangskeys in Repositories gelangen. Zuvor wurde das Scannen im passiven Modus durchgeführt, was die Identifizierung bereits aufgetretener Lecks im Repository ermöglichte. Nun wird die Überprüfung automatisch beim Publizieren (git push) durchgeführt und führt zu einer Warnung, wenn versucht wird, Commits hinzuzufügen, die vertrauliche Daten enthalten.
Es wurden über 250 Vorlagen implementiert, um verschiedene Arten von Keys, Tokens, Zertifikaten und Zugangsdaten zu identifizieren. Um falsche Alarme zu vermeiden, werden nur garantierte Typen von Tokens überprüft, die mehr als 180 verschiedene Dienste abdecken, einschließlich Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems und Yandex.Cloud. Nach der Identifizierung eines potenziellen Lecks wird der Entwickler aufgefordert, den problematischen Code zu überprüfen, das Leck zu beheben und den Commit zu wiederholen oder die Sperre als falsch zu markieren.
Quelle: opennet.ru
