GitHub oznámil zavedenie bezplatnej služby na sledovanie náhodného zverejnenia dôverných informácií v repozitároch, ako sú šifrovacie kľúče, heslá k databázam a prístupové tokeny k API. Predtým bola táto služba dostupná len účastníkom programu beta testovania, a teraz sa začala poskytovať bez obmedzení všetkým verejným repozitárom. Pre povolenie kontroly svojho repozitára v nastaveniach v sekcii „Zabezpečenie a analýza kódu“ je potrebné aktivovať možnosť „Skenovanie tajomstiev“.
Celkom bolo implementovaných viac než 200 šablón na identifikáciu rôznych typov kľúčov, tokenov, certifikátov a prihlasovacích údajov. Hľadanie únikov sa vykonáva nielen v kóde, ale aj v issue, popisoch a komentároch. Na vylúčenie falošných pozitív sú kontrolované len zaručene identifikovateľné typy tokenov, pokrývajúce viac než 100 rôznych služieb, vrátane Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems a Yandex.Cloud. Navyše je podporovaná aj zasielanie varovaní pri identifikácii samopodpisovaných certifikátov a kľúčov.
V januári v rámci experimentu bolo analyzovaných 14 000 repozitárov, ktoré používajú GitHub Actions. Nakoniec bolo v 1110 repozitároch (7,9 %, t.j. takmer v každom dvanástom) zistené prítomnosť tajných údajov. Napríklad v repozitároch bolo identifikovaných 692 tokenov GitHub App, 155 kľúčov Azure Storage, 155 tokenov GitHub Personal, 120 kľúčov Amazon AWS a 50 kľúčov Google API.
Zdroj: opennet.ru
