GitHub heeft de lancering aangekondigd van een gratis dienst voor het opsporen van onopzettelijke publicatie van gevoelige gegevens in repositories, zoals versleuteling sleutels, database-wachtwoorden en API-toegangstokens. Eerder was deze dienst alleen beschikbaar voor deelnemers aan het bètatestprogramma, maar nu wordt deze zonder beperkingen aangeboden aan alle publieke repositories. Om de controle van uw repository in te schakelen, moet u de optie 'Secret scanning' in de sectie 'Code security and analysis' van de instellingen activeren.
Er zijn in totaal meer dan 200 sjablonen geïmplementeerd voor het detecteren van verschillende soorten sleutels, tokens, certificaten en inloggegevens. Het opsporen van lekken gebeurt niet alleen in de code, maar ook in issues, beschrijvingen en opmerkingen. Om valse alarmen te vermijden, worden alleen gegarandeerd te identificeren soorten tokens gecontroleerd, die meer dan 100 verschillende diensten beslaan, waaronder Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems en Yandex.Cloud. Daarnaast wordt ondersteuning geboden voor het verzenden van waarschuwingen bij het detecteren van zelfondertekende certificaten en sleutels.
In januari werden in het kader van een experiment 14.000 repositories geanalyseerd die gebruikmaken van GitHub Actions. Dit resulteerde in de ontdekking van gevoelige gegevens in 1110 repositories (7,9%, oftewel bijna één op de twaalf). Bijvoorbeeld, in de repositories zijn 692 GitHub App-tokens, 155 Azure Storage-sleutels, 155 GitHub Personal-tokens, 120 Amazon AWS-sleutels en 50 Google API-sleutels aangetroffen.
Bron: opennet.ru
