Truffle Security telah menerbitkan hasil analisisnya terhadap kredensial yang bocor di repositori GitHub. Setelah memindai 224 juta repositori yang berisi 58 miliar file, 543 kredensial unik (token, kunci, dan kata sandi) diidentifikasi yang masih valid. Kredensial yang valid tersebut tetap berada di repositori setidaknya selama satu tahun, karena studi ini menggunakan snapshot GitHub dari tanggal 7 Agustus tahun lalu, dan pemeriksaan validitas kredensial, yang diimplementasikan melalui panggilan uji ke API, layanan jaringan, dan host, dilakukan pada akhir Juli tahun ini.
Waktu rata-rata kredensial terekspos diperkirakan sekitar 784 hari, dengan kunci akses tertua yang masih valid berasal dari tahun 2009. Sekitar 200 kredensial valid ditempatkan di repositori setelah mekanisme default GitHub untuk memblokir kebocoran data sensitif dan token akses, yang memeriksa kebocoran selama permintaan push, diaktifkan. Kebocoran tersebut tidak terdeteksi karena penempatannya dalam format yang tidak didukung oleh perlindungan yang diterapkan, meskipun penyaringan aktual mengurangi kebocoran kredensial yang dapat dikenali hingga sekitar setengahnya.
Ternyata GitHub berhasil mendeteksi kebocoran token untuk layanan umum seperti GitHub, AWS, Slack, SendGrid, Stripe, dan GCP, tetapi mengabaikan parameter koneksi basis data, kunci akses API Google, dan kunci privat yang tertinggal dalam kode. Parameter koneksi basis data dan kunci privat tidak diblokir secara default untuk menghindari kesalahan deteksi. Kunci akses API Google tidak diblokir karena memiliki awalan AIzaSy, mirip dengan kunci publik Google Maps yang dimaksudkan untuk diintegrasikan ke dalam halaman web.
Mengenai kredensial yang ditemukan dan ternyata tidak valid, sebagian besar adalah token akses dan kunci yang terkait dengan layanan yang menyediakan mekanisme pencabutan. Misalnya, hanya satu token valid yang ditemukan dari 101886 token NPM (0.001%), 260 dari 73048 token GitHub (0.35%), dan 15 dari 30437 token Hugging Face (0.05%). Tingkat keberhasilan untuk kunci Stripe adalah 4%, AWS—8%, GCP—8%, Slack—2%, dan GitLab—0.64%. Sebagai perbandingan, dari 12985 parameter koneksi yang terdeteksi ke DBMS PostgreSQL, 11465 (88%) tetap aktif, dari 2421 parameter koneksi ke MySQL - 1806 (74%), dari 126963 akun layanan Google Cloud - 69041 (54%), dari 3790 token ke Docker Hub - 1244 (33%), dan dari 22800 kunci ke SendGrid - 9189 (40%).
Sebelumnya, para peneliti memeriksa sekitar 7.5 PB data pelatihan AI yang didistribusikan melalui Hugging Face dan menemukan 221 kredensial valid di dalamnya.
Sumber: opennet.ru
