GitHub ilmoitti, että se on vahvistanut suojaa arkaluonteisia tietoja vastaan, jotka kehittäjät ovat vahingossa jättäneet koodiin pääsemästä sen arkistoihin. Esimerkiksi arkistoon päätyy määritystiedostoja, joissa on DBMS-salasanat, tunnukset tai API-käyttöavaimia. Aiemmin skannaus tehtiin passiivisessa tilassa ja mahdollisti jo tapahtuneiden ja arkistoon sisältyneiden vuotojen tunnistamisen. Vuodojen estämiseksi GitHub on lisäksi alkanut tarjota vaihtoehtoa automaattisesti estää luottamuksellisia tietoja sisältävät sitoumukset.
Tarkastus suoritetaan git push -työn aikana ja johtaa suojausvaroituksen luomiseen, jos koodissa havaitaan tokeneja yhteyden muodostamiseksi standardisovellusliittymiin. Yhteensä 69 mallia on otettu käyttöön erityyppisten avainten, tokenien, varmenteiden ja valtuustietojen tunnistamiseksi. Väärien positiivisten tulosten poistamiseksi vain taatut merkkityypit tarkistetaan. Eston jälkeen kehittäjää pyydetään tarkistamaan ongelmallinen koodi, korjaamaan vuoto ja sitoutumaan uudelleen tai merkitsemään lohko epätosi.
Vaihtoehto vuotojen ennakoivalle estämiselle on tällä hetkellä saatavilla vain organisaatioille, joilla on pääsy GitHub Advanced Security -palveluun. Passiivisen tilan skannaus on ilmainen kaikille julkisille tietovarastoille, mutta se on edelleen maksullista yksityisistä arkistoista. On raportoitu, että passiivinen skannaus on jo tunnistanut yli 700 tuhatta luottamuksellisen tiedon vuotoa yksityisistä arkistoista.
Lähde: opennet.ru