GitHub ने रिपॉजिटरी में गोपनीय डेटा के रिसाव की जाँच लागू की है

GitHub ने एन्क्रिप्शन कुंजी, DBMS पासवर्ड और API एक्सेस टोकन जैसे रिपॉजिटरी में संवेदनशील डेटा के आकस्मिक प्रकाशन को ट्रैक करने के लिए एक मुफ्त सेवा शुरू करने की घोषणा की। पहले, यह सेवा केवल बीटा परीक्षण कार्यक्रम में भाग लेने वालों के लिए उपलब्ध थी, लेकिन अब यह सभी सार्वजनिक रिपॉजिटरी को बिना किसी प्रतिबंध के प्रदान की जाने लगी है। अपने भंडार की स्कैनिंग सक्षम करने के लिए, "कोड सुरक्षा और विश्लेषण" अनुभाग में सेटिंग्स में, आपको "गुप्त स्कैनिंग" विकल्प सक्रिय करना चाहिए।

कुल मिलाकर, विभिन्न प्रकार की कुंजियों, टोकन, प्रमाणपत्रों और क्रेडेंशियल्स की पहचान करने के लिए 200 से अधिक टेम्पलेट लागू किए गए हैं। लीक की खोज न केवल कोड में, बल्कि मुद्दों, विवरणों और टिप्पणियों में भी की जाती है। झूठी सकारात्मकता को खत्म करने के लिए, केवल गारंटीशुदा टोकन प्रकारों की जाँच की जाती है, जिसमें 100 से अधिक विभिन्न सेवाएँ शामिल हैं, जिनमें Amazon Web Services, Azure, Crate.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems और Yandex.Cloud शामिल हैं। इसके अतिरिक्त, यह स्व-हस्ताक्षरित प्रमाणपत्रों और कुंजियों का पता चलने पर अलर्ट भेजने का समर्थन करता है।

जनवरी में, प्रयोग ने GitHub Actions का उपयोग करके 14 हजार रिपॉजिटरी का विश्लेषण किया। परिणामस्वरूप, 1110 रिपॉजिटरी (7.9%, यानी लगभग हर बारहवें) में गुप्त डेटा की उपस्थिति का पता चला। उदाहरण के लिए, रिपॉजिटरी में 692 GitHub ऐप टोकन, 155 Azure स्टोरेज कुंजियाँ, 155 GitHub पर्सनल टोकन, 120 Amazon AWS कुंजियाँ और 50 Google API कुंजियाँ पहचानी गईं।

स्रोत: opennet.ru