Inihayag ng GitHub ang pagpapakilala ng isang libreng serbisyo upang subaybayan ang hindi sinasadyang paglalathala ng sensitibong data sa mga repositoryo, gaya ng mga encryption key, DBMS password at API access token. Dati, ang serbisyong ito ay magagamit lamang sa mga kalahok sa beta testing program, ngunit ngayon ay nagsimula na itong ibigay nang walang mga paghihigpit sa lahat ng mga pampublikong repositoryo. Upang paganahin ang pag-scan ng iyong repositoryo, sa mga setting sa seksyong "Seguridad at pagsusuri ng code", dapat mong i-activate ang opsyong "Lihim na pag-scan".
Sa kabuuan, higit sa 200 mga template ang ipinatupad upang matukoy ang iba't ibang uri ng mga susi, mga token, mga sertipiko at mga kredensyal. Ang paghahanap para sa mga pagtagas ay isinasagawa hindi lamang sa code, kundi pati na rin sa mga isyu, paglalarawan at komento. Upang alisin ang mga maling positibo, ang mga garantisadong uri ng token lang ang sinusuri, na sumasaklaw sa higit sa 100 iba't ibang serbisyo, kabilang ang Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems at Yandex.Cloud. Bukod pa rito, sinusuportahan nito ang pagpapadala ng mga alerto kapag nakita ang mga self-sign na certificate at key.
Noong Enero, sinuri ng eksperimento ang 14 na libong repositoryo gamit ang GitHub Actions. Bilang resulta, ang pagkakaroon ng lihim na data ay nakita sa 1110 na mga repositoryo (7.9%, i.e. halos bawat ikalabindalawa). Halimbawa, 692 GitHub App token, 155 Azure Storage key, 155 GitHub Personal token, 120 Amazon AWS key, at 50 Google API key ang natukoy sa mga repository.
Pinagmulan: opennet.ru