{"id":183679,"date":"2026-10-07T22:54:32","date_gmt":"2026-10-07T20:54:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/v-github-vyyavleno-543-tysyachi-ostavlennyh-v-repozitoriyah-dejstvuyushhih-tokenov-klyuchej-i-parolej"},"modified":"2026-10-07T22:54:38","modified_gmt":"2026-10-07T20:54:38","slug":"543000-active-tokens-keys-and-passwords-found-in-github-repositories","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/543000-active-tokens-keys-and-passwords-found-in-github-repositories","title":{"rendered":"Na GitHubie znaleziono 543 tysi\u0105ce aktywnych token\u00f3w, kluczy i hase\u0142 pozostawionych w repozytoriach.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Firma Truffle Security opublikowa\u0142a wyniki analizy wyciek\u00f3w danych uwierzytelniaj\u0105cych w repozytoriach hostowanych na GitHubie. W wyniku skanowania 224 mln repozytori\u00f3w zawieraj\u0105cych 58 miliard\u00f3w plik\u00f3w zidentyfikowano 543 tysi\u0105ce unikalnych danych uwierzytelniaj\u0105cych (token\u00f3w, kluczy i hase\u0142), kt\u00f3re s\u0105 nadal aktywne. Aktywne dane uwierzytelniaj\u0105ce pozostawa\u0142y w repozytoriach przez co najmniej rok, poniewa\u017c w badaniu wykorzystano stan GitHub z 7 sierpnia zesz\u0142ego roku, a sprawdzenie aktualno\u015bci danych uwierzytelniaj\u0105cych, zrealizowane poprzez pr\u00f3by wywo\u0142a\u0144 do API, us\u0142ug sieciowych i host\u00f3w, zosta\u0142o przeprowadzone pod koniec lipca bie\u017c\u0105cego roku. <\/p>\n

Mediana czasu przechowywania danych uwierzytelniaj\u0105cych w przestrzeni publicznej zosta\u0142a oszacowana na 784 dni, przy czym najstarsze aktywne klucze dost\u0119pu datowane by\u0142y na 2009 rok. Oko\u0142o 200 tysi\u0119cy znalezionych aktywnych danych uwierzytelniaj\u0105cych zosta\u0142o umieszczonych w repozytoriach po w\u0142\u0105czeniu domy\u015blnie w GitHubie mechanizmu blokowania wyciek\u00f3w danych poufnych oraz token\u00f3w dost\u0119pu, kt\u00f3ry wykonuje weryfikacj\u0119 na etapie wysy\u0142ania zapyta\u0144 push. Wyciek\u00f3w nie rozpoznano z powodu umieszczania ich w formatach, kt\u00f3re nie by\u0142y obs\u0142ugiwane przez wdro\u017con\u0105 ochron\u0119, mimo \u017ce bezpo\u015brednie w\u0142\u0105czenie filtr\u00f3w zmniejszy\u0142o liczb\u0119 rozpoznawanych wyciek\u00f3w uwierzytelniaj\u0105cych mniej wi\u0119cej o po\u0142ow\u0119. <\/p>\n

Okaza\u0142o si\u0119, \u017ce GitHub skutecznie identyfikuje wycieki token\u00f3w do popularnych us\u0142ug, takich jak GitHub, AWS, Slack, SendGrid, Stripe i GCP, ale pomija zostawione w kodzie parametry po\u0142\u0105czenia z baz\u0105 danych, klucze dost\u0119pu do API Google oraz klucze prywatne. Parametry po\u0142\u0105czenia z baz\u0105 danych i klucze prywatne nie s\u0105 domy\u015blnie blokowane, aby unikn\u0105\u0107 fa\u0142szywych alarm\u00f3w. Klucze dost\u0119pu do API Google nie s\u0105 blokowane, poniewa\u017c maj\u0105 prefiks AIzaSy, jak otwarte klucze Google Maps przeznaczone do integracji na stronach internetowych. <\/p>\n

Je\u015bli chodzi o znalezione dane logowania, kt\u00f3re okaza\u0142y si\u0119 nieaktualne, to wi\u0119kszo\u015b\u0107 z nich dotyczy token\u00f3w dost\u0119pu i kluczy zwi\u0105zanych z us\u0142ugami, kt\u00f3re oferuj\u0105 mechanizmy uniewa\u017cnienia. Na przyk\u0142ad, z 101886 token\u00f3w NPM tylko jeden okaza\u0142 si\u0119 wa\u017cny (0.001%), z 73048 token\u00f3w GitHub \u2014 260 (0.35%), a z 30437 token\u00f3w Hugging Face \u2014 15 (0.05%). W przypadku kluczy Stripe wska\u017anik prze\u017cywalno\u015bci wyni\u00f3s\u0142 4%, AWS \u2014 8%, GCP \u2014 8%, Slack \u2014 2%, GitLab \u2014 0.64%. Dla por\u00f3wnania, z 12985 znalezionych parametr\u00f3w po\u0142\u0105czenia do bazy danych PostgreSQL aktywnych pozosta\u0142o 11465 (88%), z 2421 parametr\u00f3w po\u0142\u0105czenia do MySQL \u2014 1806 (74%), z 126963 kont serwisowych Google Cloud \u2014 69041 (54%), z 3790 token\u00f3w do Docker Hub \u2014 1244 (33%), a z 22800 kluczy do SendGrid \u2014 9189 (40%). <\/p>\n

Wcze\u015bniej badacze przeanalizowali oko\u0142o 7,5 PB danych do szkolenia modeli AI, rozpowszechnianych przez Hugging Face, i zidentyfikowali w nich 221 tys. dzia\u0142aj\u0105cych danych uwierzytelniaj\u0105cych.
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Truffle Security \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0443\u0442\u0435\u0447\u0435\u043a \u0443\u0447\u0451\u0442\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f\u0445, \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d\u043d\u044b\u0445 \u043d\u0430 GitHub. \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f 224 \u043c\u043b\u043d \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0435\u0432, \u043d\u0430\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u044e\u0449\u0438\u0445 58 \u043c\u0438\u043b\u043b\u0438\u0430\u0440\u0434\u043e\u0432 \u0444\u0430\u0439\u043b\u043e\u0432, \u0431\u044b\u043b\u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043e 543 \u0442\u044b\u0441\u044f\u0447\u0438 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0447\u0451\u0442\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 (\u0442\u043e\u043a\u0435\u043d\u043e\u0432, \u043a\u043b\u044e\u0447\u0435\u0439 \u0438 \u043f\u0430\u0440\u043e\u043b\u0435\u0439), \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0449\u0438\u0445 \u0434\u0435\u0439\u0441\u0442\u0432\u043e\u0432\u0430\u0442\u044c. \u0414\u0435\u0439\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0443\u0447\u0451\u0442\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u0438\u0441\u044c \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f\u0445 \u043a\u0430\u043a \u043c\u0438\u043d\u0438\u043c\u0443\u043c \u0433\u043e\u0434, \u0442\u0430\u043a \u043a\u0430\u043a \u0432 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u0441\u0440\u0435\u0437 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f GitHub \u043e\u0442 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":10,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-183679","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Na GitHubie zidentyfikowano 543 tysi\u0105ce pozostawionych w repozytoriach dzia\u0142aj\u0105cych token\u00f3w, kluczy i hase\u0142 | ProHoster","description":"Firma Truffle Security opublikowa\u0142a wyniki analizy wyciek\u00f3w danych uwierzytelniaj\u0105cych w repozytoriach hostowanych na GitHubie.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/543000-active-tokens-keys-and-passwords-found-in-github-repositories","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 GitHub \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043e 543 \u0442\u044b\u0441\u044f\u0447\u0438 \u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f\u0445 \u0434\u0435\u0439\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0445 \u0442\u043e\u043a\u0435\u043d\u043e\u0432, \u043a\u043b\u044e\u0447\u0435\u0439 \u0438 \u043f\u0430\u0440\u043e\u043b\u0435\u0439 | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Truffle Security \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0443\u0442\u0435\u0447\u0435\u043a \u0443\u0447\u0451\u0442\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f\u0445, \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d\u043d\u044b\u0445 \u043d\u0430 GitHub.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/543000-active-tokens-keys-and-passwords-found-in-github-repositories","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-10-07T20:54:33+00:00","article:modified_time":"2026-10-07T20:54:38+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/183679","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=183679"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/183679\/revisions"}],"predecessor-version":[{"id":183680,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/183679\/revisions\/183680"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=183679"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=183679"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=183679"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}