GitHub는 리포지토리에서 민감한 데이터 유출에 대한 검사를 구현합니다.

GitHub는 암호화 키, DBMS 비밀번호, API 액세스 토큰과 같은 리포지토리의 민감한 데이터가 실수로 게시된 것을 추적하는 무료 서비스 도입을 발표했습니다. 기존에는 베타 테스트 프로그램 참여자에게만 서비스가 제공되었으나, 이제는 모든 퍼블릭 리포지토리에 제한 없이 제공되기 시작했습니다. 리포지토리 검사를 활성화하려면 "코드 보안 및 분석" 섹션의 설정에서 "비밀 검사" 옵션을 활성화해야 합니다.

다양한 유형의 키, 토큰, 인증서 및 자격 증명을 식별하기 위해 총 200개가 넘는 템플릿이 구현되었습니다. 누수 검색은 코드뿐만 아니라 이슈, 설명, 댓글에서도 수행됩니다. 오탐지를 제거하기 위해 Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems 및 Yandex.Cloud를 포함하여 100개 이상의 다양한 서비스를 포괄하는 보장된 토큰 유형만 확인합니다. 또한 자체 서명된 인증서와 키가 감지되면 경고 보내기를 지원합니다.

지난 14월 실험에서는 GitHub Actions를 사용하여 1110개의 저장소를 분석했습니다. 그 결과, 7.9개의 저장소(692%, 즉 거의 155번째마다)에서 비밀 데이터의 존재가 감지되었습니다. 예를 들어 리포지토리에서는 GitHub 앱 토큰 155개, Azure Storage 키 120개, GitHub Personal 토큰 50개, Amazon AWS 키 XNUMX개, Google API 키 XNUMX개가 식별되었습니다.

출처 : opennet.ru