Пів мільйона активних ключів лишилися на GitHub: сканери витоків не помічають найгіршого
Дослідження 224 мільйонів репозиторіїв виявило сотні тисяч активних облікових даних, які роками лежали у відкритому доступі в обхід захисту.
Компанія Truffle Security опублікувала результати аналізу витоків облікових даних у репозиторіях GitHub. Дослідники просканували 224 млн репозиторіїв із 58 млрд файлів та знайшли у відкритому доступі 543 тис. активних токенів, ключів і паролів, які продовжують використовуватися.
За даними аналітиків, у середньому дані були у відкритому доступі 784 дні, а найстаріші злиті діючі ключі датувалися 2009 роком. Близько 200 тис. одиниць даних опинилися в репозиторіях уже після того, як GitHub увімкнув захист від витоків на етапі push-запитів. Інструмент їх не розпізнав, оскільки файли зберігалися у неподтримуваних форматах.
Механізм блокування витоків від GitHub здатен знаходити токени для популярних сервісів на кшталт AWS, Slack, SendGrid, Stripe та GCP. Водночас він пропускає параметри підключення до баз даних, щоб уникнути хибних спрацьовувань, а також ключі Google API та закриті ключі.
Живучість виявлених даних сильно різнилася залежно від сервісу. Серед 101 886 знайдених токенів NPM дійсним виявився лише один (0,001%), тоді як серед токенів підключення до PostgreSQL активними залишилися 88%, для MySQL — 74%, а для Google Cloud — 54%.
Джерело: habr
Коментарі
Допоможи покращити наступну версію: Додавай контекст або пропонуй виправлення. Після AI-перевірки коментарі можуть отримати бали для переписування. Перевірка й оновлення потребують часу; повна шкала не гарантує нової версії.