Spoločnosť Truffle Security zverejnila výsledky analýzy únikov prihlasovacích údajov v repozitároch umiestnených na GitHub. Pri skenovaní 224 miliónov repozitárov, ktoré obsahovali 58 miliárd súborov, bolo identifikovaných 543 tisíc jedinečných prihlasovacích údajov (tokenov, kľúčov a hesiel), ktoré sú stále aktívne. Aktívne prihlasovacie údaje boli v repozitároch najmenej rok, pretože výskum využíval výrez stavu GitHub z 7. augusta minulého roka a overovanie aktuálnosti prihlasovacích údajov, vykonané prostredníctvom pokusných prístupov k API, sieťovým službám a hostiteľom, bolo uskutočnené na konci júla tohto roka.
Mediánová doba, počas ktorej sú prihlasovacie údaje verejne dostupné, bola odhadovaná na 784 dní, pričom najstaršie ešte aktívne prístupové kľúče boli datované do roku 2009. Asi 200 tisíc nájdených aktívnych prihlasovacích údajov bolo vložených do repozitárov po predvolenom aktivovaní mechanizmu na GitHub na blokovanie únikov citlivých údajov a prístupových tokenov, ktorý vykonáva kontrolu pri odosielaní push požiadaviek. Úniky neboli rozpoznané kvôli umiestneniu v formátoch, ktoré nie sú podporované implementovanou ochranou, pričom priame zapnutie filtrov znížilo úniky rozpoznaných prihlasovacích údajov zhruba na polovicu.
Ukázalo sa, že GitHub úspešne odhaľuje úniky tokenov k bežným službám, ako sú GitHub, AWS, Slack, SendGrid, Stripe a GCP, ale prehliada opustené v kóde parametre pripojenia k databázam, prístupové kľúče k API Google a súkromné kľúče. Parametre pripojenia k databázam a súkromné kľúče sa predvolene neblokujú, aby sa predišlo falošným poplachom. Prístupové kľúče k API Google nie sú blokované, pretože majú prefix AIzaSy, ako otvorené kľúče Google Maps určené na integráciu na webové stránky.
Pokiaľ ide o nájdené prihlasovacie údaje, ktoré sa ukázali ako nefunkčné, väčšina z nich sa týka prístupových tokenov a kľúčov súvisiacich so službami, ktoré poskytujú mechanizmus pre odvolanie. Napríklad z 101886 tokenov NPM bol zistený iba jeden platný (0,001 %), z 73048 tokenov GitHub – 260 (0,35 %), a z 30437 tokenov Hugging Face – 15 (0,05 %). Pre kľúče Stripe bola miera prežitia 4 %, pre AWS – 8 %, GCP – 8 %, Slack – 2 %, GitLab – 0,64 %. Pre porovnanie, z 12985 identifikovaných pripojovacích parametrov k databázam PostgreSQL zostalo aktívnych 11465 (88 %), z 2421 pripojovacích parametrov k MySQL – 1806 (74 %), z 126963 služobných účtov Google Cloud – 69041 (54 %), z 3790 tokenov k Docker Hub – 1244 (33 %), a z 22800 kľúčov k SendGrid – 9189 (40 %).
Predtým vedci analyzovali približne 7,5 PB údajov na školenie AI modelov, ktoré sú distribuované prostredníctvom Hugging Face, a zistili v nich 221 tisíc aktívnych prihlasovacích údajov.
Zdroj: opennet.ru
