Tvrtka Truffle Security objavila je rezultate analize curenja podataka u repozitorijima smještenim na GitHubu. Tijekom skeniranja 224 milijuna repozitorija, koja sadrže 58 milijardi datoteka, otkriveno je 543 tisuće jedinstvenih podataka za prijavu (tokena, ključeva i lozinki) koji su i dalje aktivni. Aktivni podaci za prijavu ostajali su u repozitorijima najmanje godinu dana, budući da se u istraživanju koristio presjek stanja GitHub-a od 7. kolovoza prošle godine, a provjera valjanosti podataka za prijavu, koju su provodili putem probnih poziva na API, mrežne usluge i hostove, izvršena je krajem srpnja ove godine.
Medijan vremena zadržavanja podataka za prijavu u otvorenom pristupu procijenjen je na 784 dana, dok su najsvježiji aktivni pristupni ključevi bili datirani iz 2009. godine. Oko 200 tisuća pronađenih aktivnih podataka za prijavu dodano je u repozitorije nakon što su prema zadanim postavkama na GitHubu uključeni mehanizmi za blokiranje curenja povjerljivih podataka i pristupnih tokena, koji provode provjeru u trenutku slanja push-zahtjeva. Curenja nisu prepoznata zbog smještaja u formatima koji nisu podržani u implementiranoj zaštiti, pri čemu je izravno uključivanje filtara otprilike prepolovilo curenja prepoznatih podataka za prijavu.
Otkriveno je da GitHub uspješno prepoznaje curenja tokena za uobičajene usluge, poput GitHub-a, AWS-a, Slack-a, SendGrid-a, Stripe-a i GCP-a, ali propušta ostavljene u kodu parametre za spajanje na BDP, ključeve pristupa API-ju Google-a i privatne ključeve. Parametri za spajanje na BDP i privatni ključevi po zadanim postavkama se ne blokiraju kako bi se izbjegle lažne pozitivne identifikacije. Ključevi pristupa API-ju Google-a se ne blokiraju jer imaju prefiks AIzaSy, poput otvorenih ključeva Google Maps, namijenjenih za integraciju na web-stranice.
Glede najdenih prijavnih podatkov, ki so se izkazali za nedelujoče, večina le-teh pripada dostopnim žetonov in ključem, povezanim s storitvami, ki zagotavljajo mehanizem za preklic. Na primer, od 101886 NPM-žetonov je bil odkrit le en delujoč (0,001 %), od 73048 GitHub-žetonov - 260 (0,35 %), od 30437 žetonov Hugging Face - 15 (0,05 %). Pri ključih Stripe je preživetje znašalo 4 %, AWS - 8 %, GCP - 8 %, Slack - 2 %, GitLab - 0,64 %. Za primerjavo, od 12985 odkritih parametrov za povezovanje na DBMS PostgreSQL je ostalo aktivnih 11465 (88 %), od 2421 parametrov za povezovanje na MySQL - 1806 (74 %), od 126963 storitvenih računov Google Cloud - 69041 (54 %), od 3790 žetonov za Docker Hub - 1244 (33 %), in od 22800 ključev za SendGrid - 9189 (40 %).
Pred tem so raziskovalci preučili okoli 7,5 PB podatkov za usposabljanje AI-modelov, por distributed through Hugging Face, in odkrili 221 tisoč delujočih prijavnih podatkov.
Izvor: opennet.ru
