{"id":183679,"date":"2026-10-07T22:54:32","date_gmt":"2026-10-07T20:54:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/v-github-vyyavleno-543-tysyachi-ostavlennyh-v-repozitoriyah-dejstvuyushhih-tokenov-klyuchej-i-parolej"},"modified":"2026-10-07T22:54:38","modified_gmt":"2026-10-07T20:54:38","slug":"543000-active-tokens-keys-and-passwords-found-in-github-repositories","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/543000-active-tokens-keys-and-passwords-found-in-github-repositories","title":{"rendered":"Su GitHub sono stati rilevati 543.000 token, chiavi e password ancora attivi lasciati nei repository.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'azienda Truffle Security ha pubblicato i risultati di un'analisi delle fughe di dati nei repository ospitati su GitHub. A seguito della scansione di 224 milioni di repository, contenenti 58 miliardi di file, sono state identificate 543.000 credenziali uniche (token, chiavi e password) ancora attive. Le credenziali attive erano presenti nei repository da almeno un anno, poich\u00e9 nello studio \u00e8 stato utilizzato un campione dello stato di GitHub del 7 agosto dello scorso anno, e la verifica dell'attualit\u00e0 delle credenziali, realizzata tramite tentativi di accesso all'API, ai servizi di rete e agli host, \u00e8 stata effettuata alla fine di luglio di quest'anno. <\/p>\n
Il tempo mediano di permanenza delle credenziali in accesso pubblico \u00e8 stimato in 784 giorni, con le chiavi di accesso pi\u00f9 vecchie ancora attive risalenti al 2009. Circa 200.000 delle credenziali attive trovate sono state posizionate nei repository dopo che \u00e8 stato attivato di default su GitHub il meccanismo per bloccare le fughe di dati riservati e i token di accesso, che esegue controlli durante la fase di invio delle richieste push. Le fughe non sono state riconosciute a causa del posizionamento in formati non supportati dalla protezione implementata, nonostante l'attivazione dei filtri abbia ridotto di circa la met\u00e0 le fughe di credenziali riconosciute. <\/p>\n
\u00c8 emerso che GitHub rileva con successo le fughe di token verso servizi comuni, come GitHub, AWS, Slack, SendGrid, Stripe e GCP, ma ignora i parametri di connessione al database lasciati nel codice, le chiavi di accesso all'API di Google e le chiavi private. I parametri di connessione al database e le chiavi private non vengono bloccati di default per evitare falsi positivi. Le chiavi di accesso all'API di Google non sono bloccate poich\u00e9 hanno il prefisso AIzaSy, come le chiavi pubbliche di Google Maps destinate all'integrazione nelle pagine web. <\/p>\n
Per quanto riguarda le credenziali trovate che si sono rivelate non funzionanti, la maggior parte di esse riguarda i token di accesso e le chiavi associate ai servizi che forniscono un meccanismo di revoca. Ad esempio, su 101886 token NPM \u00e8 stato identificato solo un token valido (0,001%), su 73048 token GitHub - 260 (0,35%), e su 30437 token Hugging Face - 15 (0,05%). Per le chiavi Stripe, il tasso di sopravvivenza \u00e8 stato del 4%, AWS - 8%, GCP - 8%, Slack - 2%, GitLab - 0,64%. A titolo di confronto, su 12985 parametri rilevati per connessioni a database PostgreSQL, ne sono rimasti attivi 11465 (88%), su 2421 parametri per connessioni a MySQL - 1806 (74%), su 126963 account di servizio Google Cloud - 69041 (54%), su 3790 token per Docker Hub - 1244 (33%), e su 22800 chiavi per SendGrid - 9189 (40%). <\/p>\n