O GitHub anunciou o fortalecimento da proteção contra a inclusão de dados confidenciais em repositórios, deixados inadvertidamente pelos desenvolvedores no código. Por exemplo, é comum que arquivos de configuração com senhas de bancos de dados, tokens ou chaves de acesso à API sejam incluídos no repositório. Anteriormente, a varredura era realizada de forma passiva e permitia identificar vazamentos que já ocorreram. Para prevenir vazamentos, o GitHub começou a fornecer uma opção para bloquear automaticamente os commits que contenham dados confidenciais.
A verificação é realizada durante a execução do git push e gera um aviso de violação de segurança se forem encontrados tokens para conexão com APIs comuns no código. Foram implementados 69 modelos para identificar diferentes tipos de chaves, tokens, certificados e credenciais. Para evitar falsos positivos, apenas tipos de tokens que podem ser garantidamente identificados são verificados. Após o bloqueio, o desenvolvedor é solicitado a revisar o código problemático, corrigir a falha e repetir o commit ou marcar o bloqueio como falso.
A opção de bloqueio preventivo de vazamentos está disponível apenas para organizações que têm acesso ao serviço "GitHub Advanced Security". A varredura passiva é gratuita para todos os repositórios públicos, mas permanece paga para repositórios privados. Relata-se que a varredura passiva já identificou mais de 700 mil vazamentos de dados confidenciais em repositórios privados.
Fonte: opennet.ru
