Το GitHub ανακοίνωσε ότι ενίσχυσε την προστασία έναντι ευαίσθητων δεδομένων που είχαν αφεθεί κατά λάθος στον κώδικα από τους προγραμματιστές από την είσοδο στα αποθετήρια του. Για παράδειγμα, συμβαίνει ότι αρχεία διαμόρφωσης με κωδικούς πρόσβασης DBMS, διακριτικά ή κλειδιά πρόσβασης API καταλήγουν στο χώρο αποθήκευσης. Προηγουμένως, η σάρωση γινόταν σε παθητική λειτουργία και κατέστησε δυνατό τον εντοπισμό διαρροών που είχαν ήδη εμφανιστεί και είχαν συμπεριληφθεί στο αποθετήριο. Για την αποφυγή διαρροών, το GitHub έχει επιπλέον αρχίσει να παρέχει μια επιλογή για τον αυτόματο αποκλεισμό δεσμεύσεων που περιέχουν ευαίσθητα δεδομένα.
Ο έλεγχος πραγματοποιείται κατά τη διάρκεια της ώθησης git και οδηγεί στη δημιουργία μιας προειδοποίησης ασφαλείας εάν εντοπιστούν διακριτικά για σύνδεση σε τυπικά API στον κώδικα. Συνολικά έχουν εφαρμοστεί 69 πρότυπα για τον εντοπισμό διαφορετικών τύπων κλειδιών, διακριτικών, πιστοποιητικών και διαπιστευτηρίων. Για να εξαλειφθούν τα ψευδώς θετικά, ελέγχονται μόνο οι εγγυημένοι τύποι διακριτικών. Μετά από έναν αποκλεισμό, ζητείται από τον προγραμματιστή να ελέγξει τον προβληματικό κώδικα, να διορθώσει τη διαρροή και να επαναδεσμεύσει ή να επισημάνει το μπλοκ ως ψευδές.
Η επιλογή για προληπτικό αποκλεισμό διαρροών είναι προς το παρόν διαθέσιμη μόνο σε οργανισμούς που έχουν πρόσβαση στην υπηρεσία Advanced Security GitHub. Η σάρωση παθητικής λειτουργίας είναι δωρεάν για όλα τα δημόσια αποθετήρια, αλλά παραμένει πληρωμένη για ιδιωτικά αποθετήρια. Αναφέρεται ότι η παθητική σάρωση έχει ήδη εντοπίσει περισσότερες από 700 χιλιάδες διαρροές εμπιστευτικών δεδομένων σε ιδιωτικά αποθετήρια.
Πηγή: opennet.ru