Truffle Security опубликовала результаты анализа утечек учётных данных в репозиториях, размещённых на GitHub. Аналитики просканировали 224 млн репозиториев с 58 млрд файлов и нашли в открытом доступе 543 тыс. токенов, ключей и паролей, которые при этом продолжают использоваться.
По данным Truffle Security, в среднем данные были в открытом доступе 784 дня, самые старые слитые действующие ключи доступа датировались 2009 годом. Около 200 тыс. единиц данных оказались в репозиториях после того, как GitHub по умолчанию включил механизм блокировки утечек, который выполняет проверку на этапе отправки push‑запросов. Инструмент не распознал утечки, потому что файлы размещались в форматах, которые инструмент защиты не поддерживал.
Как выяснили исследователи, механизм блокировки утечек GitHub способен распознать утечки токенов к популярным сервисам, среди которых сам GitHub, а также AWS, Slack, SendGrid, Stripe и GCP. При этом инструмент пропускает параметры подключения к БД (чтобы избежать ложных срабатываний при проверке), ключи доступа к API Google и закрытые ключи.
Нерабочие учётные данные, обнаруженные исследователями, преимущественно представляют собой токены доступа и ключи от сервисов с механизмами отзыва. Так, среди 101 886 найденных NPM‑токенов действующим оказался только один, что составляет около 0,001%. Из 73 048 GitHub‑токенов действующими оказались 260, или 0,35%, из 30 437 токенов Hugging Face — 15, или 0,05%.
При этом из 12 985 токенов подключения к СУБД PostgreSQL активными остались 11465, или 88%. Для MySQL этот параметр составил 74% (2421 из 1806 токенов), для Google Cloud 54% (69041 из 126963), для SendGrid 40% (9189 из 22800), для Docker Hub 33% (1244 из 3790).
Источник: habr.com