GitHub heeft aangekondigd de bescherming tegen het per ongeluk opnemen van vertrouwelijke gegevens in repositories te versterken, die door ontwikkelaars in de code zijn achtergelaten. Het komt voor dat configuratiebestanden met wachtwoorden voor databases, tokens of toegangssleutels voor API's in een repository terechtkomen. Voorheen vond de scanning plaats in een passieve modus en stelde het gebruikers in staat om al eerder opgetreden lekken in de repository aan te tonen. Om lekken te voorkomen, biedt GitHub nu een optie voor het automatisch blokkeren van commits waarin vertrouwelijke gegevens zijn aangetroffen.
De controle vindt plaats bij het uitvoeren van git push en resulteert in een waarschuwing over een beveiligingsschending als er tokens voor verbinding met standaard API's in de code worden aangetroffen. Er zijn in totaal 69 sjablonen geïmplementeerd om verschillende soorten sleutels, tokens, certificaten en inloggegevens te identificeren. Om valse positieven te voorkomen, worden alleen gegarandeerd identificeerbare types tokens gecontroleerd. Na blokkering wordt de ontwikkelaar gevraagd om de problematische code te herzien, het lek te verhelpen en de commit opnieuw uit te voeren of de blokkering als vals te markeren.
De optie voor preventieve blokkering van lekken is momenteel alleen beschikbaar voor organisaties met toegang tot de dienst ‘GitHub Advanced Security’. Passieve scanning is gratis voor alle openbare repositories, maar blijft betaald voor privé-repositories. Er wordt gemeld dat passieve scanning al meer dan 700.000 lekken van vertrouwelijke gegevens in privé-repositories heeft ontdekt.
Bron: opennet.ru
