Truffle Security, GitHub depolarındaki sızdırılmış kimlik bilgilerine ilişkin analizinin sonuçlarını yayınladı. 58 milyar dosya içeren 224 milyon depoyu taradıktan sonra, hala geçerli olan 543 benzersiz kimlik bilgisi (token, anahtar ve parola) tespit edildi. Geçerli kimlik bilgileri, depolarda en az bir yıl boyunca kaldı; çünkü çalışma, geçen yılın 7 Ağustos tarihli bir GitHub anlık görüntüsünü kullandı ve API'lere, ağ hizmetlerine ve sunuculara yapılan test çağrıları aracılığıyla uygulanan kimlik bilgisi geçerlilik kontrolü, bu yılın Temmuz ayı sonunda gerçekleştirildi.
Kimlik bilgilerinin ifşa edildiği ortalama süre 784 gün olarak tahmin edildi ve en eski geçerli erişim anahtarları 2009 yılına kadar uzanıyor. GitHub'ın hassas verileri ve erişim belirteci sızıntılarını engellemek için varsayılan mekanizması (itme istekleri sırasında sızıntıları kontrol eden) etkinleştirildikten sonra, yaklaşık 200 geçerli kimlik bilgisi depolara yerleştirildi. Sızıntılar, uygulanan koruma tarafından desteklenmeyen formatlarda yerleştirildikleri için tespit edilemedi, ancak gerçek filtreleme, tanınabilir kimlik bilgilerinin sızıntısını yaklaşık yarı yarıya azalttı.
GitHub'ın GitHub, AWS, Slack, SendGrid, Stripe ve GCP gibi yaygın hizmetler için token sızıntılarını başarıyla tespit ettiği, ancak veritabanı bağlantı parametrelerini, Google API erişim anahtarlarını ve kodda bırakılan özel anahtarları göz ardı ettiği ortaya çıktı. Yanlış pozitifleri önlemek için veritabanı bağlantı parametreleri ve özel anahtarlar varsayılan olarak engellenmiyor. Google API erişim anahtarları, web sayfalarına entegrasyon için tasarlanmış Google Haritalar genel anahtarlarına benzer şekilde AIzaSy ön ekine sahip oldukları için engellenmiyor.
Geçersiz olduğu ortaya çıkan kimlik bilgilerine gelince, bunların büyük çoğunluğu iptal mekanizması sağlayan hizmetlerle ilişkili erişim belirteçleri ve anahtarlarıydı. Örneğin, 101886 NPM belirtecinden yalnızca bir tanesi (%0.001), 73048 GitHub belirtecinden 260 tanesi (%0.35) ve 30437 Hugging Face belirtecinden 15 tanesi (%0.05) geçerli bulundu. Stripe anahtarlarının geçerlilik oranı %4, AWS %8, GCP %8, Slack %2 ve GitLab %0.64 idi. Karşılaştırma yapmak gerekirse, PostgreSQL DBMS'ye yönelik tespit edilen 12985 bağlantı parametresinden 11465'i (%88), MySQL'e yönelik 2421 bağlantı parametresinden 1806'sı (%74), 126963 Google Cloud hizmet hesabından 69041'i (%54), Docker Hub'a yönelik 3790 token'dan 1244'ü (%33) ve SendGrid'e yönelik 22800 anahtardan 9189'u (%40) aktif kalmıştır.
Daha önce araştırmacılar, Hugging Face aracılığıyla dağıtılan yaklaşık 7.5 PB'lık yapay zeka eğitim verisini incelemiş ve içinde 221 geçerli kimlik bilgisi bulmuştu.
Kaynak: opennet.ru
