{"id":183679,"date":"2026-10-07T22:54:32","date_gmt":"2026-10-07T20:54:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/v-github-vyyavleno-543-tysyachi-ostavlennyh-v-repozitoriyah-dejstvuyushhih-tokenov-klyuchej-i-parolej"},"modified":"2026-10-07T22:54:38","modified_gmt":"2026-10-07T20:54:38","slug":"543000-active-tokens-keys-and-passwords-found-in-github-repositories","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/543000-active-tokens-keys-and-passwords-found-in-github-repositories","title":{"rendered":"Pe GitHub au fost identificate 543 de mii de tokenuri, chei \u0219i parole active l\u0103sate \u00een depozite.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Compania Truffle Security a publicat rezultatele analizei scurgerilor de date \u00een registrele g\u0103zduite pe GitHub. Ca urmare a scan\u0103rii a 224 de milioane de registre, care con\u021bin 58 de miliarde de fi\u0219iere, au fost identificate 543 de mii de creden\u021biale unice (tokenuri, chei \u0219i parole) care sunt \u00eenc\u0103 valide. Creden\u021bialele active au r\u0103mas \u00een registre timp de cel pu\u021bin un an, deoarece studiul s-a bazat pe o instantaneu a st\u0103rii GitHub din 7 august anul trecut, iar verificarea valabilit\u0103\u021bii creden\u021bialelor, realizat\u0103 prin apeluri de testare la API-uri, servicii de re\u021bea \u0219i gazde, a fost efectuat\u0103 la sf\u00e2r\u0219itul lunii iulie a acestui an. <\/p>\n
Timpul median de expunere a creden\u021bialelor \u00een mod public este evaluat la 784 de zile, av\u00e2nd \u00een vedere c\u0103 cele mai vechi chei de acces \u00eenc\u0103 valabile dateaz\u0103 din 2009. Aproximativ 200 de mii dintre creden\u021bialele active g\u0103site au fost ad\u0103ugate \u00een registre dup\u0103 activarea implicit\u0103 pe GitHub a mecanismului de blocare a scurgerilor de date confiden\u021biale \u0219i tokenurilor de acces, care efectueaz\u0103 verificarea \u00een etapa de trimitere a cererilor push. Scurgerile nu au fost recunoscute din cauza plas\u0103rii \u00een formate nesuportate \u00een protec\u021bia implementat\u0103, av\u00e2nd \u00een vedere c\u0103 activarea direct\u0103 a filtrului a redus cu aproximativ jum\u0103tate scurgerile de creden\u021be recunoscute. <\/p>\n
S-a constatat c\u0103 GitHub identific\u0103 cu succes scurgerile tokenurilor c\u0103tre servicii populare, cum ar fi GitHub, AWS, Slack, SendGrid, Stripe \u0219i GCP, dar las\u0103 neobservate parametrii de conectare la baza de date, cheile de acces API Google \u0219i cheile private. Parametrii de conectare la baza de date \u0219i cheile private nu sunt bloca\u021bi \u00een mod implicit pentru a evita alertele false. Cheile de acces API Google nu sunt blocate, deoarece au prefixul AIzaSy, la fel ca cheile publice Google Maps, destinate integr\u0103rii pe paginile web. <\/p>\n
\u00cen ceea ce prive\u0219te datele de autentificare g\u0103site, care s-au dovedit a fi ineficiente, cea mai mare parte dintre acestea se refer\u0103 la tokenuri de acces \u0219i chei asociate cu servicii ce ofer\u0103 mecanisme de revocare. De exemplu, din 101886 de tokenuri NPM, a fost identificat un singur token func\u021bional (0,001%), din 73048 de tokenuri GitHub \u2014 260 (0,35%), iar din 30437 de tokenuri Hugging Face \u2014 15 (0,05%). Pentru cheile Stripe, rata de supravie\u021buire a fost de 4%, pentru AWS \u2014 8%, GCP \u2014 8%, Slack \u2014 2%, GitLab \u2014 0,64%. Spre compara\u021bie, din 12985 de parametri de conectare la baza de date PostgreSQL, au r\u0103mas active 11465 (88%), din 2421 de parametri de conectare la MySQL \u2014 1806 (74%), din 126963 de conturi de serviciu Google Cloud \u2014 69041 (54%), din 3790 de tokenuri pentru Docker Hub \u2014 1244 (33%), iar din 22800 de chei pentru SendGrid \u2014 9189 (40%). <\/p>\n