Truffle Security компаниясы GitHub репозиторийлериндеги агып чыккан маалыматтарды талдоо жыйынтыктарын жарыялады. 58 миллиард файлды камтыган 224 миллион репозиторийди сканерлегенден кийин, дагы эле жарактуу болгон 543 000 уникалдуу репозиторий (токендер, ачкычтар жана сырсөздөр) аныкталды. Жарактуу репозиторийлер репозиторийлерде кеминде бир жыл бою сакталып калган, анткени изилдөөдө өткөн жылдын 7-августундагы GitHub сүрөтү колдонулган жана API'лерге, тармактык кызматтарга жана хостторго тесттик чалуулар аркылуу ишке ашырылган репозиторийлердин жарактуулугун текшерүү ушул жылдын июль айынын аягында жүргүзүлгөн.
Маалыматтардын ачыкка чыккан орточо убактысы 784 күнгө эсептелген, ал эми эң эски, дагы эле жарактуу кирүү ачкычтары 2009-жылга таандык. GitHub'дун сезгич маалыматтарды жана кирүү токендеринин агып кетишин бөгөттөө боюнча демейки механизми иштетилгенден кийин, болжол менен 200 000 жарактуу маалымат репозиторийлерге жайгаштырылган, ал push суроо-талаптары учурунда агып кетүүлөрдү текшерет. Агып кетүүлөр ишке ашырылган коргоо тарабынан колдоого алынбаган форматтарда жайгаштырылгандыктан аныкталган эмес, бирок чыныгы чыпкалоо таанымал маалыматтардын агып кетишин болжол менен эки эсеге азайткан.
Көрсө, GitHub GitHub, AWS, Slack, SendGrid, Stripe жана GCP сыяктуу кеңири таралган кызматтар үчүн токендердин агып кетишин ийгиликтүү аныктайт, бирок маалымат базасына туташуу параметрлерин, Google API кирүү ачкычтарын жана коддо калган жеке ачкычтарды этибарга албайт. Маалымат базасына туташуу параметрлери жана жеке ачкычтар жалган оң натыйжаларды болтурбоо үчүн демейки шартта бөгөттөлгөн эмес. Google API кирүү ачкычтары веб-баракчаларга интеграциялоо үчүн арналган Google Карталарынын ачык ачкычтарына окшош AIzaSy префиксине ээ болгондуктан, бөгөттөлгөн эмес.
Жараксыз болуп чыккан аныктоо маалыматтарына келсек, алардын көпчүлүгү кирүү токендери жана жокко чыгаруу механизмин камсыз кылган кызматтар менен байланышкан ачкычтар болгон. Мисалы, 101 886 NPM токенинин ичинен бир гана жарактуу токен (0.001%), 73 048 GitHub токенинин ичинен 260ы (0.35%) жана 30 437 Hugging Face токенинин ичинен 15и (0.05%) табылган. Stripe ачкычтарынын жашоо деңгээли 4%, AWS—8%, GCP—8%, Slack—2% жана GitLab—0.64% түзгөн. Салыштыруу үчүн, PostgreSQL DBMSке аныкталган 12 985 туташуу параметрлеринин ичинен 11 465 (88%) активдүү бойдон калган, MySQLге туташуу параметрлеринин 2421инен - 1806 (74%), Google Cloud кызматынын 126 963 аккаунтунун ичинен - 69 041 (54%), Docker Hubга жөнөтүлгөн 3790 токендин ичинен - 1244 (33%) жана SendGridге жөнөтүлгөн 22 800 ачкычтын ичинен - 9189 (40%).
Буга чейин изилдөөчүлөр Hugging Face аркылуу таратылган болжол менен 7.5 пабдык жасалма интеллектти окутуу маалыматтарын изилдеп, анда 221 000 жарактуу сертификатты табышкан.
Source: opennet.ru
