GitHub je napovedal uvedbo brezplačne storitve za sledenje naključnemu objavljanju zaupnih podatkov v repozitorijih, kot so ključi za šifriranje, gesla za DBMS in dostopni žetoni za API. Ta storitev je bila prej na voljo le udeležencem beta-testiranja, zdaj pa se brez omejitev ponuja vsem javnim repozitorijem. Da omogočite preverjanje svojega repozitorija, aktivirajte možnost „Secret scanning“ v nastavitvah v razdelku „Varnost kode in analiza“.
Skupaj je bilo izvedenih več kot 200 predlog za odkrivanje različnih vrst ključev, žetonov, certifikatov in prijavnih podatkov. Iskanje uhajanja poteka ne samo v kodi, temveč tudi v težavah, opisih in komentarjih. Za preprečitev lažnih opozoril se preverjajo le garantirano prepoznavni tipi žetonov, ki pokrivajo več kot 100 različnih storitev, vključno z Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems in Yandex.Cloud. Dodatno je podprto pošiljanje opozoril ob odkritju samopodpisanih certifikatov in ključev.
V januarju je bilo med eksperimentom analiziranih 14.000 repozitorijev, ki uporabljajo GitHub Actions. V 1110 repozitorijih (7.9 %, torej skoraj v vsakem dvanajstem) so odkrili prisotnost zaupnih podatkov. Na primer, v repozitorijih so odkrili 692 žetonov GitHub App, 155 ključev Azure Storage, 155 žetonov GitHub Personal, 120 ključev Amazon AWS in 50 ključev Google API.
Izvor: opennet.ru
