GitHub הטמיעה בדיקה לאיתור דליפה של נתונים סודיים במאגרים

GitHub הכריזה על הצגת שירות חינמי למעקב אחר פרסום מקרי של נתונים רגישים במאגרים, כגון מפתחות הצפנה, סיסמאות DBMS ואסימוני גישה ל-API. בעבר, שירות זה היה זמין רק למשתתפים בתוכנית בדיקות הבטא, אך כעת הוא החל להינתן ללא הגבלות לכל המאגרים הציבוריים. כדי לאפשר סריקה של המאגר שלך, בהגדרות בסעיף "אבטחת קוד וניתוח", עליך להפעיל את האפשרות "סריקה סודית".

בסך הכל, יותר מ-200 תבניות יושמו לזיהוי סוגים שונים של מפתחות, אסימונים, אישורים ואישורים. החיפוש אחר הדלפות מתבצע לא רק בקוד, אלא גם בנושאים, תיאורים והערות. כדי לחסל תוצאות חיוביות שגויות, רק סוגי אסימונים מובטחים נבדקים, המכסים יותר מ-100 שירותים שונים, כולל Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems ו-Yandex.Cloud. בנוסף, הוא תומך בשליחת התראות כאשר מזוהים אישורים ומפתחות בחתימה עצמית.

בינואר, הניסוי ניתח 14 אלף מאגרים באמצעות GitHub Actions. כתוצאה מכך זוהתה נוכחות של נתונים סודיים ב-1110 מאגרים (7.9%, כלומר כמעט כל שנים עשר). לדוגמה, 692 אסימוני GitHub App, 155 מפתחות Azure Storage, 155 GitHub Personal tokens, 120 מפתחות Amazon AWS ו-50 מפתחות Google API זוהו במאגרים.

מקור: OpenNet.ru