A GitGuardian kutat\u00f3i k\u00f6zz\u00e9tett\u00e9k a fejleszt\u0151k \u00e1ltal a Python csomagok PyPI (Python Package Index) t\u00e1rol\u00f3j\u00e1ban elfelejtett \u00e9rz\u00e9keny adatok elemz\u00e9s\u00e9nek eredm\u00e9nyeit. T\u00f6bb mint 9,5 milli\u00f3 f\u00e1jl \u00e9s 5 milli\u00f3 csomagkiad\u00e1s, \u00f6sszesen 450 ezer projekt vizsg\u00e1lata ut\u00e1n 56866 \u00e9rz\u00e9keny adat kisziv\u00e1rg\u00e1s\u00e1t tal\u00e1lt\u00e1k. Ha csak az egyedi adatokat vessz\u00fck figyelembe, a k\u00fcl\u00f6nb\u00f6z\u0151 kiad\u00e1sokban val\u00f3 duplik\u00e1ci\u00f3 n\u00e9lk\u00fcl, akkor a kisziv\u00e1rg\u00e1sok sz\u00e1ma 3938-ra, m\u00edg a projektek sz\u00e1ma, amelyekben legal\u00e1bb egy kisziv\u00e1rg\u00e1s tal\u00e1lhat\u00f3, 2922-re n\u0151tt. <\/p>\n
\u00d6sszesen t\u00f6bb mint 150 fajt\u00e1t azonos\u00edtottak a bizalmas inform\u00e1ci\u00f3k kisziv\u00e1rg\u00e1s\u00e1b\u00f3l, t\u00f6bbek k\u00f6z\u00f6tt szok\u00e1sos jelszavakat, kriptogr\u00e1fiai kulcsokat, hozz\u00e1f\u00e9r\u00e9si tokeneket felh\u0151szolg\u00e1ltat\u00e1sokhoz, folyamatos integr\u00e1ci\u00f3s rendszerekhez \u00e9s API-hoz. Legal\u00e1bb 768 hiteles\u00edt\u0151 adat volt \u00e9rv\u00e9nyes a kutat\u00e1s idej\u00e9n. A n\u00e9pszer\u0171, folyamatosan relev\u00e1ns kisziv\u00e1rg\u00e1sok p\u00e9ld\u00e1i k\u00f6z\u00f6tt eml\u00edtik az Azure Active Directoryhoz val\u00f3 hozz\u00e1f\u00e9r\u00e9si kulcsokat, SSH-titkokat, MongoDB, MySQL \u00e9s PostgreSQL hiteles\u00edt\u0151 adatokat, GitHub OAuth App, Dropbox \u00e9s Auth0 hozz\u00e1f\u00e9r\u00e9si kulcsokat, valamint a Coinbase \u00e9s Twilio bejelentkez\u00e9si param\u00e9tereit. <\/p>\n
A n\u00f6vekv\u0151 n\u00e9pszer\u0171s\u00e9gnek \u00f6rvend\u0151 kisziv\u00e1rg\u00e1si t\u00edpusok k\u00f6z\u00f6tt eml\u00edt\u00e9st nyernek a Telegram-botokhoz val\u00f3 hozz\u00e1f\u00e9r\u00e9si tokenek, amelyek sz\u00e1ma 2021 elej\u00e9n megdupl\u00e1z\u00f3dott, majd 2023 tavasz\u00e1n \u00fajra megdupl\u00e1z\u00f3dott. \u00c1lland\u00f3 n\u00f6veked\u00e9s figyelhet\u0151 meg 2020 \u00f3ta a Google API-hoz val\u00f3 hozz\u00e1f\u00e9r\u00e9si kulcsok kisziv\u00e1rg\u00e1s\u00e1ban, m\u00edg 2022 \u00f3ta az adatb\u00e1zis-kezel\u0151 rendszerekhez val\u00f3 hozz\u00e1f\u00e9r\u00e9si adatok\u00e9n\u00e1l. A kisziv\u00e1rg\u00e1sok sz\u00e1m\u00e1t tekintve az \u00e9lvonalban \u00e1ll\u00f3 csomagok k\u00f6z\u00e9 tartozik a chatllm \u00e9s a safire, melyekben elfelejtettek 209 OpenAI kulcsot \u00e9s 320 Google Cloud kulcsot. <\/p>\n
A legnagyobb sz\u00e1m\u00fa kisziv\u00e1rg\u00e1st mutat\u00f3 f\u00e1jlt\u00edpusok k\u00f6z\u00f6tt a .py kiterjeszt\u00e9s\u0171 f\u00e1jlok mellett a .json (610 kisziv\u00e1rg\u00e1s), .md (270), PKG-INFO (240), METADATA (210), .txt (170), valamint a README f\u00e1jlok (209) \u00e9s a test nev\u0171 mapp\u00e1kb\u00f3l sz\u00e1rmaz\u00f3 f\u00e1jlok (675) tal\u00e1lhat\u00f3k. Sz\u00e1mos kisziv\u00e1rg\u00e1s kapcsol\u00f3dik a csomagok l\u00e9trehoz\u00e1sakor a f\u00e1jlok megfelel\u0151 kiz\u00e1r\u00e1s\u00e1nak mulaszt\u00e1s\u00e1hoz \u00e9s hib\u00e1ihoz. P\u00e9ld\u00e1ul a helyi konfigur\u00e1ci\u00f3s f\u00e1jlok (.cookiecutterrc, .env, .pypirc stb.) kiz\u00e1rhat\u00f3k a Git-t\u00e1rol\u00f3b\u00f3l a '.gitignore' f\u00e1jl seg\u00edts\u00e9g\u00e9vel, amely nem ker\u00fcl figyelembev\u00e9telre a csomag l\u00e9trehoz\u00e1sakor. K\u00fcl\u00f6n\u00f6sen a t\u00e1rol\u00f3ban 43 .pypirc f\u00e1jl tal\u00e1lhat\u00f3, amelyek a PyPI-hoz val\u00f3 hozz\u00e1f\u00e9r\u00e9si adatokat tartalmazz\u00e1k. 15 esetben a fejleszt\u0151k nem tervezt\u00e9k a csomagok nyilv\u00e1nos k\u00f6zz\u00e9t\u00e9tel\u00e9t, amelyek eredetileg bels\u0151 haszn\u00e1latra k\u00e9sz\u00fcltek, de a hib\u00e1juk miatt feltett\u00e9k \u0151ket a PyPI-ra. <\/p>\n
Tov\u00e1bbi k\u00e9t esem\u00e9nyt is \u00e9rdemes megeml\u00edteni, amelyek a PyPI-hez kapcsol\u00f3dnak: <\/p>\n
\n
A PyPI t\u00e1rol\u00f3ban 8 k\u00e1ros csomagot azonos\u00edtottak, amelyeket obfuszk\u00e1l\u00f3 eszk\u00f6z\u00f6kk\u00e9nt, vagyis a k\u00f3d olvashatatlan form\u00e1ba hoz\u00e1s\u00e1ra szolg\u00e1l\u00f3 programokk\u00e9nt mutattak be. A felfedezett csomagok neveiben szerepelt a 'pyobf' kifejez\u00e9s (Pyobftoexe, Pyobfusfile, Pyobfexecute, Pyobfpremium, Pyobflight, Pyobfadvance, Pyobfuse \u00e9s pyobfgood), \u00e9s ezeket t\u00f6bb mint 2000 alkalommal t\u00f6lt\u00f6tt\u00e9k le.\n