Kompania Truffle Security publikoi rezultatet e analizës së rrjedhjeve të të dhënave të akountit në repozitorët e hostuar në GitHub. Si rezultat i skanimit të 224 milion repozitorëve, që numërojnë 58 miliardë skedarë, u identifikuan 543 mijë akount të dhënë unik (tokena, çelësa dhe fjalëkalime), të cilat janë ende funksionale. Të dhënat funksionale kishin mbetur në repozitorë për të paktën një vit, pasi në studim u përdor një mostër e gjendjes së GitHub nga 7 gushti i vitit të kaluar, dhe verifikimi i aktualitetit të të dhënave u realizua përmes kërkesave prova në API, shërbime rrjeti dhe hoste, që u krye në fund të korrikut të këtij viti.
Koha mesatare e jetëgjatësisë së të dhënave të akountit në akses të hapur u vlerësua në 784 ditë, ndërkohë që çelësat e aksesit më të vjetër ende funksional ishin datuar në vitin 2009. Rreth 200 mijë të dhëna akounti që ishin funksionale u vendosën në repozitorë pas aktivizimit të parazgjedhur në GitHub të mekanizmit për bllokimin e rrjedhjeve të të dhënave të ndjeshme dhe tokenave të aksesit, që kryen verifikimin në fazën e dorëzimit të kërkesave push. Rrjedhjet nuk u identifikuan për shkak se ishin vendosur në formate që nuk mbështeten në mbrojtjen e implementuar, edhe pse aktivizimi i filtrave përkatës ulën afërsisht me gjysmë rrjedhjet e të dhënave të akountit të identifikueshme.
Doli se GitHub identifikon me sukses rrjedhjet e tokenave pĂ«r shĂ«rbimet mĂ« tĂ« zakonshme, si GitHub, AWS, Slack, SendGrid, Stripe dhe GCP, por anashkalon parametrat e lidhjes pĂ«r Baza tĂ« DhĂ«nash qĂ« mbeten nĂ« kod, çelĂ«sat e aksesit pĂ«r API Google dhe çelĂ«sat e mbyllur. Parametrat e lidhjes pĂ«r Baza tĂ« DhĂ«nash dhe çelĂ«sat e mbyllur nuk bllokohen automatikisht pĂ«r tĂ« shmangur alarmin e rremĂ«. ĂelĂ«sat e aksesit pĂ«r API Google nuk bllokohen, pasi kanĂ« prefiksin AIzaSy, siç ndodhin çelĂ«sat e hapur pĂ«r Google Maps, tĂ« destinuara pĂ«r integrim nĂ« faqe web.
Sa i gjitha informacioneve tĂ« gjetura qĂ« rezultuan tĂ« jenĂ« jo funksionale, shumica e tyre i takojnĂ« tokeneve tĂ« aksesit dhe çelĂ«save lidhur me shĂ«rbimet qĂ« ofrojnĂ« mekanizma tĂ« tĂ«rheqjes. PĂ«r shembull, nga 101886 tokene NPM, u gjet vetĂ«m njĂ« funksional (0.001%), nga 73048 tokene GitHub â 260 (0.35%), dhe nga 30437 tokene Hugging Face â 15 (0.05%). PĂ«r çelĂ«sat Stripe, shkalla e mbijetesĂ«s ishte 4%, AWS â 8%, GCP â 8%, Slack â 2%, GitLab â 0.64%. PĂ«r krahasim, nga 12985 parametra tĂ« gjetur pĂ«r lidhjet me DBMS PostgreSQL, mbetĂ«n aktivĂ« 11465 (88%), nga 2421 parametra lidhjesh me MySQL â 1806 (74%), nga 126963 llogari shĂ«rbimi nĂ« Google Cloud â 69041 (54%), nga 3790 tokene pĂ«r Docker Hub â 1244 (33%), dhe nga 22800 çelĂ«sa pĂ«r SendGrid â 9189 (40%).
Më parë, studiuesit analizuan rreth 7.5 PB të dhënash për trajnimin e modeleve AI, të shpërndara përmes Hugging Face, dhe identifikuan në to 221 mijë kredenciale funksionale.
Burimi: opennet.ru
