GitHub ha annunciato l'abilitazione di default per tutti i repository pubblici di un meccanismo di protezione contro l'inclusione nei repository di dati riservati lasciati nel codice dagli sviluppatori per distrazione. Ad esempio, può succedere che nel repository vengano inclusi file di configurazione con password per DBMS, token o chiavi di accesso API. In precedenza, la scansione avveniva in modalità passiva e permetteva di rilevare le perdite già avvenute. Ora, il controllo viene effettuato automaticamente al momento della pubblicazione (git push), generando un avviso nel tentativo di aggiungere commit che contengono dati riservati.
Sono stati implementati oltre 250 modelli per rilevare vari tipi di chiavi, token, certificati e credenziali. Per escludere i falsi positivi, vengono verificati solo tipi di token facilmente identificabili, coprendo oltre 180 servizi diversi, tra cui Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems e Yandex.Cloud. Dopo aver identificato una potenziale perdita, viene chiesto allo sviluppatore di rivedere il codice problematico, risolvere la perdita e ripetere il commit o contrassegnare il blocco come falso.
Fonte: opennet.ru
