Truffle Security компаниясы GitHub репозиторийлеріндегі ағып кеткен тіркелгі деректерін талдау нәтижелерін жариялады. 58 миллиард файлды қамтитын 224 миллион репозиторий сканерленгеннен кейін әлі де жарамды 543 000 бірегей тіркелгі деректері (токендер, кілттер және құпия сөздер) анықталды. Жарамды тіркелгі деректері репозиторийлерде кем дегенде бір жыл бойы қалды, себебі зерттеуде өткен жылдың 7 тамызындағы GitHub суреті пайдаланылды, ал API-лерге, желілік қызметтерге және хосттарға тесттік қоңыраулар арқылы жүзеге асырылған тіркелгі деректерінің жарамдылығын тексеру осы жылдың шілде айының соңында жүргізілді.
Тіркелгі деректерінің жарияланған орташа уақыты 784 күнге бағаланды, ең ескі әлі жарамды кіру кілттері 2009 жылға жатады. GitHub-тың құпия деректер мен кіру токенінің ағып кетуін бұғаттауға арналған әдепкі механизмі қосылғаннан кейін, push сұраулары кезінде ағып кетулерді тексеретін, шамамен 200 000 жарамды тіркелгі деректері репозиторийлерге орналастырылды. Нақты сүзгілеу танылатын тіркелгі деректерінің ағып кетуін шамамен екі есе азайтқанымен, ағып кетулер енгізілген қорғаныс қолдамайтын форматтарда орналастырылғандықтан анықталмады.
GitHub GitHub, AWS, Slack, SendGrid, Stripe және GCP сияқты кең таралған қызметтер үшін токендердің ағып кетуін сәтті анықтайтыны, бірақ дерекқорға қосылу параметрлерін, Google API кіру кілттерін және кодта қалдырылған жеке кілттерді елемейтіні белгілі болды. Жалған оң нәтижелерді болдырмау үшін дерекқорға қосылу параметрлері мен жеке кілттер әдепкі бойынша бұғатталмаған. Google API кіру кілттері бұғатталмаған, себебі оларда веб-беттерге интеграциялауға арналған Google Maps жалпы кілттеріне ұқсас AIzaSy префиксі бар.
Жарамсыз болып шыққан тіркелгі деректеріне келетін болсақ, олардың көпшілігі қайтарып алу механизмін ұсынатын қызметтермен байланысты кіру токендері мен кілттер болды. Мысалы, 101 886 NPM токенінің ішінен тек бір ғана жарамды токен (0.001%), 73 048 GitHub токенінің ішінен 260 (0.35%) және 30 437 Hugging Face токенінің ішінен 15 (0.05%) табылды. Stripe кілттерінің өмір сүру деңгейі 4%, AWS—8%, GCP—8%, Slack—2% және GitLab—0.64% болды. Салыстыру үшін, PostgreSQL ДҚБЖ-ға анықталған 12 985 қосылу параметрлерінің 11 465-і (88%) белсенді болып қалды, MySQL-ға қосылған 2 421 параметрдің 1 806-сы (74%), Google Cloud қызметінің 126 963 тіркелгісінің 69 041-і (54%), Docker Hub-қа қосылған 3 790 токеннің 1 244-і (33%) және SendGrid-ке қосылған 22 800 кілттің 9 189-ы (40%).
Бұған дейін зерттеушілер Hugging Face арқылы таратылған шамамен 7.5 паб жасанды интеллект жаттығулары туралы деректерді зерттеп, онда 221 000 жарамды куәлікті анықтаған.
Ақпарат көзі: opennet.ru
