O GitHub anunciou o lançamento de um serviço gratuito para monitorar a publicação acidental de dados confidenciais em repositórios, como chaves de criptografia, senhas de bancos de dados e tokens de acesso à API. Anteriormente, este serviço estava disponível apenas para participantes do programa de teste beta, e agora é oferecido sem restrições a todos os repositórios públicos. Para ativar a verificação de seu repositório, vá até as configurações na seção 'Segurança de Código e Análise' e ative a opção 'Verificação de Segredos'.
Foram implementados mais de 200 modelos para detectar vários tipos de chaves, tokens, certificados e credenciais. A busca por vazamentos é realizada não apenas no código, mas também em issues, descrições e comentários. Para evitar falsos positivos, são verificados apenas tipos de tokens que podem ser identificados com precisão, abrangendo mais de 100 serviços diferentes, incluindo Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems e Yandex.Cloud. Além disso, o envio de alertas quando certificados autoassinados e chaves são detectados também é suportado.
Em janeiro, durante um experimento, foram analisados 14 mil repositórios que utilizam GitHub Actions. Como resultado, foram encontrados dados secretos em 1110 repositórios (7,9%, ou seja, quase um em cada doze). Por exemplo, foram detectados 692 tokens do GitHub App, 155 chaves do Azure Storage, 155 tokens pessoais do GitHub, 120 chaves da Amazon AWS e 50 chaves da API do Google.
Fonte: opennet.ru
