„Truffle Security“ paskelbė nutekėjusių prisijungimo duomenų „GitHub“ saugyklose analizės rezultatus. Nuskenavus 224 mln. saugyklų, kuriose yra 58 mlrd. failų, buvo nustatyta 543 000 unikalių prisijungimo duomenų (žetonų, raktų ir slaptažodžių), kurie vis dar galiojo. Galiojantys prisijungimo duomenys saugyklose išliko mažiausiai metus, nes tyrime buvo naudojama praėjusių metų rugpjūčio 7 d. „GitHub“ momentinė kopija, o prisijungimo duomenų galiojimo patikrinimas, atliktas atliekant bandomuosius API, tinklo paslaugų ir pagrindinių kompiuterių iškvietimus, buvo atliktas šių metų liepos pabaigoje.
Apskaičiuota, kad vidutinis laikas, per kurį prisijungimo duomenys buvo atskleisti, buvo 784 dienos, o seniausi vis dar galiojantys prieigos raktai buvo iš 2009 m. Maždaug 200 000 galiojančių prisijungimo duomenų buvo patalpinta saugyklose po to, kai buvo įjungtas numatytasis „GitHub“ jautrių duomenų ir prieigos žetonų nutekėjimo blokavimo mechanizmas, kuris tikrina, ar nėra nutekėjimo tiesioginių užklausų metu. Nutekėjimai nebuvo aptikti dėl jų formatų, kurių nepalaiko įdiegta apsauga, nors faktinis filtravimas sumažino atpažįstamų prisijungimo duomenų nutekėjimą maždaug perpus.
Pasirodo, „GitHub“ sėkmingai aptinka žetonų nutekėjimą įprastoms paslaugoms, tokioms kaip „GitHub“, AWS, „Slack“, „SendGrid“, „Stripe“ ir GCP, tačiau ignoruoja duomenų bazės ryšio parametrus, „Google API“ prieigos raktus ir privačius raktus, paliktus kode. Duomenų bazės ryšio parametrai ir privatūs raktai pagal numatytuosius nustatymus nėra blokuojami, siekiant išvengti klaidingų teigiamų rezultatų. „Google API“ prieigos raktai nėra blokuojami, nes jie turi „AIzaSy“ prefiksą, panašų į „Google Maps“ viešuosius raktus, skirtus integracijai į tinklalapius.
Kalbant apie aptiktus negaliojančius prisijungimo duomenis, dauguma jų buvo prieigos žetonai ir raktai, susieti su paslaugomis, kurios teikia atšaukimo mechanizmą. Pavyzdžiui, galiojantis žetonas buvo rastas tik vienas iš 101 886 NPM žetonų (0.001 %), 260 iš 73 048 „GitHub“ žetonų (0.35 %) ir 15 iš 30 437 „Hugging Face“ žetonų (0.05 %). „Stripe“ raktų išlikimo rodiklis buvo 4 %, AWS – 8 %, GCP – 8 %, „Slack“ – 2 %, o „GitLab“ – 0.64 %. Palyginimui, iš 12 985 aptiktų prisijungimo prie „PostgreSQL“ DBMS parametrų 11 465 (88 %) išliko aktyvūs, iš 2 421 prisijungimo prie „MySQL“ parametro – 1 806 (74 %), iš 126 963 „Google Cloud“ paslaugų paskyrų – 69 041 (54 %), iš 3 790 žetonų, skirtų „Docker Hub“, – 1 244 (33 %) ir iš 22 800 raktų, skirtų „SendGrid“, – 9 189 (40 %).
Anksčiau tyrėjai išnagrinėjo maždaug 7.5 petabilo dirbtinio intelekto mokymo duomenų, platinamų per „Hugging Face“, ir juose rado 221 000 galiojančių prisijungimo duomenų.
Šaltinis: opennet.ru
