A Truffle Security publicou os resultados da análise de vazamentos de credenciais em repositórios hospedados no GitHub. Através da varredura de 224 milhões de repositórios, totalizando 58 bilhões de arquivos, foram identificadas 543 mil credenciais únicas (tokens, chaves e senhas) que permanecem ativas. As credenciais ativas estavam nos repositórios por pelo menos um ano, pois o estudo usou um instantâneo do estado do GitHub de 7 de agosto do ano passado, e a verificação da validade das credenciais, realizada por meio de chamadas de teste à API, serviços de rede e hosts, foi concluída no final de julho deste ano.
O tempo médio que as credenciais permanecem acessíveis publicamente foi estimado em 784 dias, sendo que as chaves de acesso mais antigas ativas datam de 2009. Aproximadamente 200 mil credenciais ativas encontradas foram adicionadas aos repositórios após a ativação automática no GitHub do mecanismo de bloqueio de vazamentos de dados confidenciais e tokens de acesso, que realiza verificações na etapa de envio de solicitações push. Os vazamentos não foram reconhecidos devido ao armazenamento em formatos não suportados pela proteção implementada, embora a inclusão direta de filtros tenha reduzido em cerca de metade os vazamentos de credenciais reconhecíveis.
Foi constatado que o GitHub identifica com sucesso os vazamentos de tokens para serviços populares como GitHub, AWS, Slack, SendGrid, Stripe e GCP, mas ignora parâmetros de conexão de banco de dados, chaves de acesso da API do Google e chaves privadas deixadas no código. Parâmetros de conexão de banco de dados e chaves privadas não são bloqueados por padrão para evitar falsos positivos. As chaves de acesso da API do Google não são bloqueadas, pois possuem o prefixo AIzaSy, assim como as chaves abertas do Google Maps destinadas à integração em páginas web.
No que diz respeito às credenciais encontradas, que se revelaram ineficazes, a maior parte delas refere-se a tokens de acesso e chaves associadas a serviços que oferecem um mecanismo de revogação. Por exemplo, de 101886 tokens NPM, apenas um estava ativo (0,001%), de 73048 tokens GitHub – 260 (0,35%), e de 30437 tokens Hugging Face – 15 (0,05%). Para as chaves Stripe, a taxa de sobrevivência foi de 4%, AWS – 8%, GCP – 8%, Slack – 2%, GitLab – 0,64%. Em comparação, de 12985 parâmetros de conexão com o SGBD PostgreSQL, permaneceram ativos 11465 (88%), de 2421 parâmetros de conexão com MySQL – 1806 (74%), de 126963 contas de serviço do Google Cloud – 69041 (54%), de 3790 tokens do Docker Hub – 1244 (33%), e de 22800 chaves do SendGrid – 9189 (40%).
Antes disso, os pesquisadores analisaram cerca de 7,5 PB de dados para treinar modelos de IA, disseminados através do Hugging Face, e identificaram 221 mil credenciais ativas.
Fonte: opennet.ru
