A GitHub bejelentette, hogy minden nyilvános tárolónál alapértelmezetté vált a védelmi mechanizmus, amely megakadályozza a bizalmas adatok véletlen tárolókba kerülését, amelyeket a fejlesztők hanyagsága miatt hagytak a kódban. Például előfordulhat, hogy a tárolóba konfigurációs fájlok kerülnek, amelyek az adatbázis-kezelő jelszavait, tokeneket vagy API-hozzáférési kulcsokat tartalmaznak. Korábban a keresés passzív üzemmódban zajlott, és lehetővé tette már bekövetkezett adatlopások észlelését, amelyek a tárolóba került. Most a vizsgálat automatikusan történik a közzététel (git push) szakaszában, és figyelmeztetést ad ki, ha acommitokban bizalmas adatokat találnak.
Több mint 250 sablon került megvalósításra különböző típusú kulcsok, tokenek, tanúsítványok és hitelesítő adatok azonosítására. A hamis pozitív eredmények kizárása érdekében csak garantáltan azonosítható token típusok kerülnek ellenőrzésre, amelyek több mint 180 különböző szolgáltatást fednek le, beleértve az Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems és Yandex.Cloud. A potenciális adatlopás észlelése után a fejlesztőknek lehetőségük van a problémás kód felülvizsgálatára, az adatlopás megszüntetésére és a commit ismétlésére, vagy annak hamis riasztásként való megjelölésére.
Forrás: opennet.ru
