GitHub הטמיעה את היכולת לחסום באופן יזום דליפות אסימונים ל-API

GitHub הודיעה כי היא חיזקה את ההגנה מפני נתונים רגישים שהושארו בטעות בקוד על ידי מפתחים מלהיכנס למאגרים שלו. לדוגמה, קורה שקובצי תצורה עם סיסמאות DBMS, אסימונים או מפתחות גישה ל-API מגיעים למאגר. בעבר הסריקה בוצעה במצב פסיבי ואיפשרה לזהות דליפות שכבר התרחשו ונכללו במאגר. כדי למנוע דליפות, GitHub החלה בנוסף לספק אפשרות לחסום אוטומטית התחייבויות המכילות נתונים רגישים.

הבדיקה מתבצעת בזמן git push ומובילה ליצירת אזהרת אבטחה אם מזוהים בקוד אסימונים לחיבור ל-API סטנדרטיים. סך של 69 תבניות יושמו לזיהוי סוגים שונים של מפתחות, אסימונים, אישורים ואישורים. כדי לחסל תוצאות חיוביות שגויות, רק סוגי אסימון מובטחים נבדקים. לאחר חסימה, המפתח מתבקש לסקור את הקוד הבעייתי, לתקן את הדליפה ולבצע מחדש או לסמן את החסימה כשקרית.

האפשרות לחסימה יזומה של הדלפות זמינה כרגע רק לארגונים שיש להם גישה לשירות GitHub Advanced Security. סריקה במצב פסיבי היא בחינם עבור כל המאגרים הציבוריים, אך נשארת בתשלום עבור מאגרים פרטיים. דווח כי סריקה פסיבית כבר זיהתה יותר מ-700 אלף דליפות של נתונים חסויים במאגרים פרטיים.

מקור: OpenNet.ru