Kompania Truffle Security publikoi rezultatet e analiz\u00ebs s\u00eb rrjedhjeve t\u00eb t\u00eb dh\u00ebnave t\u00eb akountit n\u00eb repozitor\u00ebt e hostuar n\u00eb GitHub. Si rezultat i skanimit t\u00eb 224 milion repozitor\u00ebve, q\u00eb num\u00ebrojn\u00eb 58 miliard\u00eb skedar\u00eb, u identifikuan 543 mij\u00eb akount t\u00eb dh\u00ebn\u00eb unik (tokena, \u00e7el\u00ebsa dhe fjal\u00ebkalime), t\u00eb cilat jan\u00eb ende funksionale. T\u00eb dh\u00ebnat funksionale kishin mbetur n\u00eb repozitor\u00eb p\u00ebr t\u00eb pakt\u00ebn nj\u00eb vit, pasi n\u00eb studim u p\u00ebrdor nj\u00eb most\u00ebr e gjendjes s\u00eb GitHub nga 7 gushti i vitit t\u00eb kaluar, dhe verifikimi i aktualitetit t\u00eb t\u00eb dh\u00ebnave u realizua p\u00ebrmes k\u00ebrkesave prova n\u00eb API, sh\u00ebrbime rrjeti dhe hoste, q\u00eb u krye n\u00eb fund t\u00eb korrikut t\u00eb k\u00ebtij viti. <\/p>\n
Koha mesatare e jet\u00ebgjat\u00ebsis\u00eb s\u00eb t\u00eb dh\u00ebnave t\u00eb akountit n\u00eb akses t\u00eb hapur u vler\u00ebsua n\u00eb 784 dit\u00eb, nd\u00ebrkoh\u00eb q\u00eb \u00e7el\u00ebsat e aksesit m\u00eb t\u00eb vjet\u00ebr ende funksional ishin datuar n\u00eb vitin 2009. Rreth 200 mij\u00eb t\u00eb dh\u00ebna akounti q\u00eb ishin funksionale u vendos\u00ebn n\u00eb repozitor\u00eb pas aktivizimit t\u00eb parazgjedhur n\u00eb GitHub t\u00eb mekanizmit p\u00ebr bllokimin e rrjedhjeve t\u00eb t\u00eb dh\u00ebnave t\u00eb ndjeshme dhe tokenave t\u00eb aksesit, q\u00eb kryen verifikimin n\u00eb faz\u00ebn e dor\u00ebzimit t\u00eb k\u00ebrkesave push. Rrjedhjet nuk u identifikuan p\u00ebr shkak se ishin vendosur n\u00eb formate q\u00eb nuk mb\u00ebshteten n\u00eb mbrojtjen e implementuar, edhe pse aktivizimi i filtrave p\u00ebrkat\u00ebs ul\u00ebn af\u00ebrsisht me gjysm\u00eb rrjedhjet e t\u00eb dh\u00ebnave t\u00eb akountit t\u00eb identifikueshme. <\/p>\n
Doli se GitHub identifikon me sukses rrjedhjet e tokenave p\u00ebr sh\u00ebrbimet m\u00eb t\u00eb zakonshme, si GitHub, AWS, Slack, SendGrid, Stripe dhe GCP, por anashkalon parametrat e lidhjes p\u00ebr Baza t\u00eb Dh\u00ebnash q\u00eb mbeten n\u00eb kod, \u00e7el\u00ebsat e aksesit p\u00ebr API Google dhe \u00e7el\u00ebsat e mbyllur. Parametrat e lidhjes p\u00ebr Baza t\u00eb Dh\u00ebnash dhe \u00e7el\u00ebsat e mbyllur nuk bllokohen automatikisht p\u00ebr t\u00eb shmangur alarmin e rrem\u00eb. \u00c7el\u00ebsat e aksesit p\u00ebr API Google nuk bllokohen, pasi kan\u00eb prefiksin AIzaSy, si\u00e7 ndodhin \u00e7el\u00ebsat e hapur p\u00ebr Google Maps, t\u00eb destinuara p\u00ebr integrim n\u00eb faqe web. <\/p>\n
Sa i gjith\u00eb t\u00eb dh\u00ebnat e gjetura, t\u00eb cilat rezultuan t\u00eb jen\u00eb t\u00eb pavlefshme, shumica prej tyre i p\u00ebrkasin tokeneve t\u00eb aksesit dhe \u00e7el\u00ebsave q\u00eb lidhen me sh\u00ebrbime q\u00eb ofrojn\u00eb mekanizma t\u00eb revokimit. P\u00ebr shembull, nga 101886 tokenet NPM, vet\u00ebm nj\u00ebra rezultoi aktive (0.001%), nga 73048 tokenet GitHub \u2014 260 (0.35%), dhe nga 30437 tokenet Hugging Face \u2014 15 (0.05%). P\u00ebr \u00e7el\u00ebsat Stripe, treguesi i mbijetes\u00ebs ishte 4%, AWS \u2014 8%, GCP \u2014 8%, Slack \u2014 2%, GitLab \u2014 0.64%. P\u00ebr t\u00eb b\u00ebr\u00eb nj\u00eb krahasim, nga 12985 parametra t\u00eb identifikuar p\u00ebr lidhje me baz\u00ebn e t\u00eb dh\u00ebnave PostgreSQL, 11465 (88%) mbet\u00ebn aktive, nga 2421 parametrat p\u00ebr lidhje me MySQL \u2014 1806 (74%), nga 126963 llogarit\u00eb sh\u00ebrbyese t\u00eb Google Cloud \u2014 69041 (54%), nga 3790 tokenet p\u00ebr Docker Hub \u2014 1244 (33%), dhe nga 22800 \u00e7el\u00ebsat p\u00ebr SendGrid \u2014 9189 (40%). <\/p>\n