GitHub oznámil, že posilnil ochranu pred citlivými údajmi, ktoré vývojári nechtiac nechali v kóde pri vstupe do jeho úložísk. Napríklad sa stáva, že v úložisku skončia konfiguračné súbory s heslami DBMS, tokenmi alebo prístupovými kľúčmi API. Predtým sa skenovanie vykonávalo v pasívnom režime a umožňovalo identifikovať netesnosti, ktoré sa už vyskytli a boli zahrnuté v úložisku. Aby sa zabránilo únikom, GitHub navyše začal poskytovať možnosť automatického blokovania potvrdení, ktoré obsahujú citlivé údaje.
Kontrola sa vykonáva počas git push a vedie k vygenerovaniu bezpečnostného varovania, ak sú v kóde zistené tokeny na pripojenie k štandardným API. Celkovo bolo implementovaných 69 šablón na identifikáciu rôznych typov kľúčov, tokenov, certifikátov a poverení. Na odstránenie falošných poplachov sa kontrolujú iba zaručené typy tokenov. Po zablokovaní je vývojár požiadaný, aby skontroloval problematický kód, opravil únik a znova potvrdil alebo označil blok ako nepravdivý.
Možnosť proaktívneho blokovania únikov je momentálne dostupná len organizáciám, ktoré majú prístup k službe GitHub Advanced Security. Skenovanie v pasívnom režime je bezplatné pre všetky verejné úložiská, ale za súkromné úložiská zostáva platené. Uvádza sa, že pasívne skenovanie už identifikovalo viac ako 700 tisíc únikov dôverných údajov v súkromných úložiskách.
Zdroj: opennet.ru
