A GitHub bejelentette, hogy elindítja ingyenes szolgáltatását, amely a bizalmas adatok, például titkosítási kulcsok, adatbázis-jelszavak és API-hozzáférési tokenek véletlenszerű közzétételének nyomon követésére szolgál. Korábban ez a szolgáltatás csak a bétatesztelési program résztvevői számára volt elérhető, mostantól viszont korlátozások nélkül minden nyilvános tárolónak elérhető. A tároló ellenőrzésének aktiválásához a „Kódbiztonság és elemzés” szekcióban kell bekapcsolni a „Titkosítványok szkennelése” opciót.
Összesen több mint 200 sablon került megvalósításra a különféle kulcsok, tokenek, tanúsítványok és hitelesítő adatok azonosítására. Az adatlopások keresése nemcsak a kódban, hanem a problémák, leírások és hozzászólások között is történik. A hamis riasztások elkerülése érdekében csak a garantáltan azonosítható token típusokat ellenőrzik, amelyek több mint 100 különböző szolgáltatást ölelnek fel, beleértve az Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems és Yandex.Cloud. Emellett támogatja az önaláírt tanúsítványok és kulcsok észlelésekor küldött figyelmeztetések küldését is.
Januárban kísérleti jelleggel 14 ezer tárolót elemeztek, amelyek a GitHub Actions-t használják. Ennek eredményeképpen 1110 tárolóban (7.9%, azaz szinte minden tizenkettedik) titkos adatok jelenlétét állapították meg. Például a tárolókban 692 GitHub App token, 155 Azure Storage kulcs, 155 GitHub Personal token, 120 Amazon AWS kulcs és 50 Google API kulcs lett felfedezve.
Forrás: opennet.ru
