A GitHub bejelentette a biztonság erősítését az érzékeny adatok repozitóriumokba való nem szándékos bekerülése ellen, amelyeket a fejlesztők hagytak a kódban. Például előfordulhat, hogy a repozitóriumhoz konfigurációs fájlok kerülnek jelszavakkal az adatbázis-kezelőhöz, tokenek vagy API-hozzáférési kulcsok. Korábban a szkennelés passzív üzemmódban történt, lehetővé téve a már megtörtént adatainak kiszivárgását a repozitóriumban. Az adatfolyások megelőzése érdekében a GitHub kiegészítő lehetőséget biztosított a commitok automatikus blokkolására, ha érzékeny adatokat észlelnek.
A vizsgálat a git push végrehajtásakor történik, és biztonsági figyelmeztetést generál, ha a kódban API-k összekapcsolásához szükséges tokenek találhatóak. Összesen 69 sablon került bevezetésre különféle kulcsok, tokenek, tanúsítványok és hitelesítő adatok azonosítására. A hamis riasztások elkerülése érdekében csak a garantáltan azonosítható token típusok vannak ellenőrizve. A blokkolás után a fejlesztőnek felajánlják a problémás kód átnézését, a szivárgás megszüntetését és a commit megismétlését, vagy a blokkolás hamisnak történő címkézését.
A szivárgások megelőző blokkolásához szükséges lehetőség jelenleg csak azok számára érhető el, akik hozzáférnek a "GitHub Advanced Security" szolgáltatáshoz. A passzív üzemmódú szkennelés ingyenes minden nyilvános repozitórium számára, de továbbra is díjköteles a privát repozitóriumok esetében. Jelentések szerint a passzív szkennelés már több mint 700 000 érzékeny adat kiszivárgását észlelte privát repozitóriumokban.
Forrás: opennet.ru
