La soci\u00e9t\u00e9 Truffle Security a publi\u00e9 les r\u00e9sultats d'une analyse des fuites de donn\u00e9es d'identification dans les d\u00e9p\u00f4ts h\u00e9berg\u00e9s sur GitHub. Suite \u00e0 l'analyse de 224 millions de d\u00e9p\u00f4ts contenant 58 milliards de fichiers, 543 000 donn\u00e9es d'identification uniques (tokens, cl\u00e9s et mots de passe) toujours actifs ont \u00e9t\u00e9 identifi\u00e9es. Ces donn\u00e9es d'identification \u00e9taient pr\u00e9sentes dans les d\u00e9p\u00f4ts depuis au moins un an, car l'\u00e9tude se basait sur un instantan\u00e9 de l'\u00e9tat de GitHub au 7 ao\u00fbt de l'ann\u00e9e derni\u00e8re, et la v\u00e9rification de leur actualit\u00e9, r\u00e9alis\u00e9e par des appels d'API de test, des services web et des h\u00f4tes, a \u00e9t\u00e9 effectu\u00e9e fin juillet de cette ann\u00e9e. <\/p>\n
Le temps m\u00e9dian de conservation des donn\u00e9es d'identification en acc\u00e8s public est estim\u00e9 \u00e0 784 jours, les cl\u00e9s d'acc\u00e8s les plus anciennes encore actives ayant \u00e9t\u00e9 dat\u00e9es de 2009. Environ 200 000 donn\u00e9es d'identification trouv\u00e9es ont \u00e9t\u00e9 ajout\u00e9es aux d\u00e9p\u00f4ts apr\u00e8s l'activation par d\u00e9faut sur GitHub d'un m\u00e9canisme de blocage des fuites de donn\u00e9es sensibles et des tokens d'acc\u00e8s, effectuant une v\u00e9rification lors de l'envoi de requ\u00eates push. Les fuites n'ont pas \u00e9t\u00e9 reconnues en raison de leur pr\u00e9sence dans des formats non pris en charge par la protection mise en place, bien que l'activation directe des filtres ait r\u00e9duit d'environ deux fois les fuites de donn\u00e9es d'identification d\u00e9tect\u00e9es. <\/p>\n
Il s'av\u00e8re que GitHub d\u00e9tecte avec succ\u00e8s les fuites de tokens vers des services courants tels que GitHub, AWS, Slack, SendGrid, Stripe et GCP, mais ignore les param\u00e8tres de connexion de base de donn\u00e9es laiss\u00e9s dans le code, les cl\u00e9s d'acc\u00e8s \u00e0 l'API Google et les cl\u00e9s secr\u00e8tes. Les param\u00e8tres de connexion de base de donn\u00e9es et les cl\u00e9s secr\u00e8tes ne sont pas bloqu\u00e9s par d\u00e9faut pour \u00e9viter les faux positifs. Les cl\u00e9s d'acc\u00e8s \u00e0 l'API Google ne sont pas bloqu\u00e9es car elles commencent par le pr\u00e9fixe AIzaSy, comme les cl\u00e9s publiques de Google Maps, destin\u00e9es \u00e0 l'int\u00e9gration sur des pages web. <\/p>\n
En ce qui concerne les identifiants trouv\u00e9s qui se sont r\u00e9v\u00e9l\u00e9s non fonctionnels, la plupart d'entre eux concernent des jetons d'acc\u00e8s et des cl\u00e9s li\u00e9s \u00e0 des services offrant un m\u00e9canisme de r\u00e9vocation. Par exemple, parmi 101886 jetons NPM, un seul \u00e9tait valide (0,001%), parmi 73048 jetons GitHub \u2014 260 (0,35%), et parmi 30437 jetons Hugging Face \u2014 15 (0,05%). Pour les cl\u00e9s Stripe, le taux de survie \u00e9tait de 4%, pour AWS \u2014 8%, GCP \u2014 8%, Slack \u2014 2%, et GitLab \u2014 0,64%. En comparaison, parmi 12985 param\u00e8tres de connexion \u00e0 la base de donn\u00e9es PostgreSQL, 11465 sont rest\u00e9s actifs (88%), parmi 2421 param\u00e8tres de connexion \u00e0 MySQL \u2014 1806 (74%), parmi 126963 comptes de service Google Cloud \u2014 69041 (54%), parmi 3790 jetons pour Docker Hub \u2014 1244 (33%), et parmi 22800 cl\u00e9s pour SendGrid \u2014 9189 (40%). <\/p>\n