GitHub har meddelat att de har förstÀrkt skyddet mot att kÀnsliga uppgifter av misstag lÀmnas i kod och hamnar i sina repository. Det intrÀffar till exempel att konfigurationsfiler med databaspaketets lösenord, tokens eller API-Ätkomstnycklar hamnar i ett repository. Tidigare genomfördes skanningar i passivt lÀge, vilket endast möjliggjorde identifiering av redan intrÀffade lÀckor som hamnat i repository. För att förhindra lÀckor har GitHub dessutom börjat erbjuda ett alternativ för automatisk blockering av commits dÀr kÀnsliga uppgifter upptÀckts.
Kontrollen utförs vid utförande av git push och resulterar i en sÀkerhetsvarning om tokens till typiska API:er upptÀckts i koden. Totalt har 69 mallar implementerats för att identifiera olika typer av nycklar, tokens, certifikat och autentiseringsuppgifter. För att utesluta falsklarm kontrolleras endast typer av tokens som kan identifieras med sÀkerhet. Efter blockeringen erbjuds utvecklaren att granska den problematiska koden, ÄtgÀrda lÀckan och ÄtersÀnda commit eller markera blockeringen som en falsk positiv.
Alternativet för förebyggande blockering av lÀckor Àr för nÀrvarande endast tillgÀngligt för organisationer med tillgÄng till tjÀnsten 'GitHub Advanced Security'. Passiv skanning erbjuds gratis för alla offentliga repositories men Àr fortsatt betalbar för privata repositories. Det rapporteras att passiv skanning redan har identifierat över 700 000 lÀckor av kÀnsliga uppgifter i privata repositories.
KĂ€lla: opennet.ru
