GitHub реализовал проверку утечки конфиденциальных данных в репозиториях
Дата публикации:Tue, 28 Feb 2023 23:01:05 +0300
GitHub объявил о введении в строй бесплатного сервиса по отслеживанию случайной публикации в репозиториях конфиденциальных данных, таких как ключи шифрования, пароли к СУБД и токены доступа к API. Ранее данный сервис был доступен только участникам программы бета-тестирования, а теперь начал предоставляться без ограничений всем публичным репозиториям. Для включения проверки своего репозитория в настройках в секции "Code security and analysis" следует активировать опцию "Secret scanning".
Всего реализовано более 200 шаблонов для выявления различных видов ключей, токенов, сертификатов и учётных данных. Поиск утечек осуществляется не только в коде, но и в issue, описаниях и комментариях. Для исключения ложных срабатываний проверяются только гарантированно определяемые типы токенов, охватывающие более 100 различных сервисов, включая Amazon Web Services, Azure, Crates.io, DigitalOcean, Google Cloud, NPM, PyPI, RubyGems и Yandex.Cloud. Дополнительно поддерживается отправка предупреждений при выявлении самоподписанных сертификатов и ключей.
В январе в ходе эксперимента проанализировано 14 тысяч репозиториев, использующих GitHub Actions. В итоге в 1110 репозиториях (7.9%, т.е. почти в каждом двенадцатом) выявлено наличие секретных данных. Например, в репозиториях выявлено 692 токенов GitHub App, 155 ключей
Azure Storage, 155 токенов GitHub Personal, 120 ключей
Amazon AWS и 50 ключей Google API.
Новость позаимствована с opennet.ru
Ссылка на оригинал: https://www.opennet.ru/opennews/art.shtml?num=58725