GitHub ໄດ້ປະຕິບັດການກວດສອບການຮົ່ວໄຫລຂອງຂໍ້ມູນລັບຢູ່ໃນບ່ອນເກັບມ້ຽນ

GitHub ປະກາດການນໍາສະເຫນີການບໍລິການຟຣີເພື່ອຕິດຕາມການພິມເຜີຍແຜ່ຂໍ້ມູນທີ່ລະອຽດອ່ອນໂດຍບັງເອີນໃນບ່ອນເກັບມ້ຽນ, ເຊັ່ນລະຫັດການເຂົ້າລະຫັດ, ລະຫັດຜ່ານ DBMS ແລະ tokens ການເຂົ້າເຖິງ API. ກ່ອນຫນ້ານີ້, ການບໍລິການນີ້ສາມາດໃຊ້ໄດ້ກັບຜູ້ເຂົ້າຮ່ວມໃນໂຄງການທົດສອບເບຕ້າເທົ່ານັ້ນ, ແຕ່ໃນປັດຈຸບັນມັນໄດ້ເລີ່ມຕົ້ນທີ່ຈະສະຫນອງໃຫ້ໂດຍບໍ່ມີການຈໍາກັດກັບທຸກ repositories ສາທາລະນະ. ເພື່ອເປີດໃຊ້ການສະແກນບ່ອນເກັບມ້ຽນຂອງທ່ານ, ໃນການຕັ້ງຄ່າໃນສ່ວນ "ຄວາມປອດໄພລະຫັດແລະການວິເຄາະ", ທ່ານຄວນເປີດໃຊ້ຕົວເລືອກ "ການສະແກນລັບ".

ໃນຈໍານວນທັງຫມົດ, ຫຼາຍກ່ວາ 200 ແມ່ແບບໄດ້ຖືກປະຕິບັດເພື່ອກໍານົດປະເພດທີ່ແຕກຕ່າງກັນຂອງກະແຈ, tokens, ໃບຢັ້ງຢືນແລະໃບຢັ້ງຢືນ. ການຄົ້ນຫາສໍາລັບການຮົ່ວໄຫຼແມ່ນດໍາເນີນບໍ່ພຽງແຕ່ຢູ່ໃນລະຫັດ, ແຕ່ຍັງຢູ່ໃນບັນຫາ, ຄໍາອະທິບາຍແລະຄໍາເຫັນ. ເພື່ອລົບລ້າງຜົນບວກທີ່ບໍ່ຖືກຕ້ອງ, ພຽງແຕ່ມີການກວດສອບປະເພດ token ທີ່ຮັບປະກັນ, ກວມເອົາຫຼາຍກວ່າ 100 ບໍລິການທີ່ແຕກຕ່າງກັນ, ລວມທັງ Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems ແລະ Yandex.Cloud. ນອກຈາກນັ້ນ, ມັນສະຫນັບສະຫນູນການສົ່ງການແຈ້ງເຕືອນເມື່ອກວດພົບໃບຢັ້ງຢືນແລະກະແຈທີ່ເຊັນດ້ວຍຕົນເອງ.

ໃນເດືອນມັງກອນ, ການທົດລອງໄດ້ວິເຄາະ 14 ພັນ repositories ໂດຍໃຊ້ GitHub Actions. ດັ່ງນັ້ນ, ການປະກົດຕົວຂອງຂໍ້ມູນລັບໄດ້ຖືກກວດພົບໃນ 1110 repositories (7.9%, i.e. ເກືອບທຸກໆສິບສອງ). ຕົວຢ່າງ, 692 GitHub App tokens, 155 Azure Storage keys, 155 GitHub Personal tokens, 120 Amazon AWS keys, ແລະ 50 Google API keys ໄດ້ຖືກລະບຸໄວ້ໃນ repositories.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru