Tvrtka Truffle Security objavila je rezultate analize curenja vjerodajnica u repozitorijima smještenim na GitHubu. Tijekom skeniranja 224 milijuna repozitorija, koji sadrže 58 milijardi datoteka, otkriveno je 543 tisuće jedinstvenih vjerodajnica (tokena, ključeva i lozinki) koje su i dalje aktivne. Aktivne vjerodajnice nalazile su se u repozitorijima najmanje godinu dana, budući da je u istraživanju korištena snimka stanja GitHuba od 7. kolovoza prošle godine, a provjera ažurnosti vjerodajnica, provedena putem probnih poziva API-ju, mrežnim uslugama i hostovima, izvršena je krajem srpnja ove godine.
Medijan vremena tijekom kojeg su vjerodajnice bile javno dostupne procijenjen je na 784 dana, pri čemu su najstariji još uvijek aktivni ključevi pristupa datirani iz 2009. godine. Oko 200 tisuća pronađenih aktivnih vjerodajnica dodano je u repozitorije nakon što je zadano omogućeno na GitHubu mehanizam za blokiranje curenja povjerljivih podataka i pristupnih tokena, koji provodi provjeru prilikom slanja push zahtjeva. Curenja nisu prepoznata zbog smještaja u formatima koji nisu podržani u implementiranoj zaštiti, dok je izravno uključivanje filtara smanjilo curenja prepoznatih vjerodajnica otprilike dva puta.
Ispostavilo se da GitHub uspješno otkriva curenja tokena za popularne usluge, kao što su GitHub, AWS, Slack, SendGrid, Stripe i GCP, ali propušta ostavljene u kodu parametre za povezivanje s bazom podataka, pristupne ključeve za Google API i privatne ključeve. Parametri za povezivanje s bazom podataka i privatni ključevi prema zadanim postavkama nisu blokirani kako bi se izbjegla lažna pozitivna očitavanja. Pristupni ključevi za Google API nisu blokirani jer imaju prefiks AIzaSy, kao otvoreni ključevi za Google Maps, namijenjeni integraciji na web-stranice.
Što se tiče pronađenih korisničkih podataka koji su se pokazali nefunkcionalnima, većina njih odnosi se na pristupne tokene i ključeve povezane s uslugama koje pružaju mehanizam opoziva. Na primjer, od 101886 NPM tokena, otkriven je samo jedan aktivan (0,001%), od 73048 GitHub tokena – 260 (0,35%), a od 30437 tokena Hugging Face – 15 (0,05%). Za Stripe ključeve stopa preživljavanja iznosila je 4%, za AWS 8%, za GCP 8%, za Slack 2%, a za GitLab 0,64%. U usporedbi, od 12985 identificiranih veza za bazu podataka PostgreSQL, aktivno je ostalo 11465 (88%), od 2421 veze za MySQL – 1806 (74%), od 126963 Google Cloud servisnih računa – 69041 (54%), od 3790 Docker Hub tokena – 1244 (33%), a od 22800 SendGrid ključeva – 9189 (40%).
Prije toga, istraživači su analizirali oko 7,5 PB podataka za obuku AI modela, distribuiranih putem Hugging Face, i pronašli 221 tisuću aktivnih korisničkih podataka.
Izvor: opennet.ru
