GitHub 저장소에서 543개의 활성 토큰, 키 및 암호가 발견되었습니다.

트러플 시큐리티(Truffle Security)는 깃허브(GitHub) 리포지토리에서 유출된 자격 증명에 대한 분석 결과를 발표했습니다. 580억 개의 파일이 포함된 2억 2,400만 개의 리포지토리를 스캔한 결과, 여전히 유효한 54만 3,000개의 고유한 자격 증명(토큰, 키, 암호)이 확인되었습니다. 이 연구는 작년 8월 7일자 깃허브 스냅샷을 사용했으며, API, 네트워크 서비스 및 호스트에 대한 테스트 호출을 통해 자격 증명 유효성 검사를 올해 7월 말에 수행했기 때문에, 유효한 자격 증명은 최소 1년 동안 리포지토리에 남아 있었던 것으로 나타났습니다.

자격 증명이 노출된 중간 시간은 784일로 추정되었으며, 가장 오래된 유효한 액세스 키는 2009년까지 거슬러 올라갑니다. GitHub의 기본 민감 데이터 및 액세스 토큰 유출 차단 메커니즘(푸시 요청 중 유출 여부를 확인하는 기능)이 활성화된 후 약 200만 개의 유효한 자격 증명이 저장소에 노출되었습니다. 이러한 유출은 구현된 보호 기능에서 지원하지 않는 형식으로 저장되어 있어 감지되지 않았지만, 실제 필터링을 통해 식별 가능한 자격 증명 유출은 약 절반으로 줄었습니다.

GitHub는 GitHub, AWS, Slack, SendGrid, Stripe, GCP와 같은 일반적인 서비스의 토큰 유출은 성공적으로 감지하지만, 데이터베이스 연결 매개변수, Google API 액세스 키, 코드에 남겨진 개인 키는 감지하지 못하는 것으로 나타났습니다. 데이터베이스 연결 매개변수와 개인 키는 오탐을 방지하기 위해 기본적으로 차단되지 않습니다. Google API 액세스 키는 웹 페이지에 통합하기 위한 Google Maps 공개 키와 유사하게 AIzaSy 접두사가 붙어 있기 때문에 차단되지 않습니다.

발견된 자격 증명 중 유효하지 않은 것으로 판명된 대부분은 취소 메커니즘을 제공하는 서비스와 관련된 액세스 토큰 및 키였습니다. 예를 들어, 101886개의 NPM 토큰 중 유효한 토큰은 단 1개(0.001%), 73048개의 GitHub 토큰 중 260개(0.35%), 30437개의 Hugging Face 토큰 중 15개(0.05%)만 발견되었습니다. Stripe 키의 유효율은 4%, AWS는 8%, GCP는 8%, Slack은 2%, GitLab은 0.64%였습니다. 비교하자면, PostgreSQL DBMS에 대한 12985개의 연결 매개변수 중 11465개(88%)가 활성 상태로 유지되었고, MySQL에 대한 2421개의 연결 매개변수 중 1806개(74%), Google Cloud 서비스 계정 126963개 중 69041개(54%), Docker Hub 토큰 3790개 중 1244개(33%), SendGrid 키 22800개 중 9189개(40%)가 활성 상태로 유지되었습니다.

앞서 연구원들은 Hugging Face를 통해 배포된 약 7.5PB 규모의 AI 학습 데이터를 분석한 결과, 221개의 유효한 자격 증명을 발견했습니다.

출처 : opennet.ru