GitHub anunciou que reforzou a protección contra os datos sensibles que os desenvolvedores deixaron inadvertidamente no código ao entrar nos seus repositorios. Por exemplo, ocorre que os ficheiros de configuración con contrasinais de DBMS, tokens ou claves de acceso á API acaban no repositorio. Anteriormente, a dixitalización realizábase en modo pasivo e permitía identificar filtracións que xa se produciran e que se incluíron no repositorio. Para evitar filtracións, GitHub tamén comezou a ofrecer unha opción para bloquear automaticamente as confirmacións que conteñan datos confidenciais.
A comprobación realízase durante git push e leva á xeración dun aviso de seguridade se no código se detectan tokens para conectarse ás API estándar. Implementáronse un total de 69 modelos para identificar diferentes tipos de claves, tokens, certificados e credenciais. Para eliminar os falsos positivos, só se verifican os tipos de token garantidos. Despois dun bloqueo, pídeselle ao programador que revise o código problemático, que corrixa a fuga e que reinicie ou marque o bloqueo como falso.
A opción de bloquear de forma proactiva as filtracións só está dispoñible actualmente para as organizacións que teñen acceso ao servizo de seguridade avanzada de GitHub. A exploración en modo pasivo é gratuíta para todos os repositorios públicos, pero segue sendo de pago para os repositorios privados. Infórmase de que a dixitalización pasiva xa identificou máis de 700 mil filtracións de datos confidenciais en repositorios privados.
Fonte: opennet.ru