Truffle Security нашла на GitHub 543 тыс. активных токенов и паролей
Truffle Security просканировала 224 миллиона репозиториев (58 млрд файлов) и обнаружила 543 тысячи активных токенов, ключей и паролей, лежащих в открытом доступе и продолжающих работать. Средний секрет спокойно почивает на всеобщем обозрении 784 дня, а рекордсмены датируются 2009 годом... строка подключения к базе, пережившая четыре версии Windows, две волны хайпа блокчейна и саму концепцию "перепишем всё с нуля".
Около 200 тысяч утекли уже после того, как GitHub включил по умолчанию механизм блокировки утечек с проверкой на push. Инструмент честно сканирует, распознаёт токены GitHub, AWS, Slack, SendGrid, Stripe и GCP, но слитые файлы лежали в форматах, которые он не поддерживает. Плюс есть честно задокументированные дыры: параметры подключения к БД сканер пропускает сознательно, просто чтобы не душить разработчиков ложными срабатываниями. Рядом в пропусках гуляют ключи Google API и приватные ключи.
Truffle Security просканировала 224 миллиона репозиториев (58 млрд файлов) и обнаружила 543 тысячи активных токенов, ключей и паролей, лежащих в открытом доступе и продолжающих работать. Средний секрет спокойно почивает на всеобщем обозрении 784 дня, а рекордсмены датируются 2009 годом... строка подключения к базе, пережившая четыре версии Windows, две волны хайпа блокчейна и саму концепцию "перепишем всё с нуля".
Около 200 тысяч утекли уже после того, как GitHub включил по умолчанию механизм блокировки утечек с проверкой на push. Инструмент честно сканирует, распознаёт токены GitHub, AWS, Slack, SendGrid, Stripe и GCP, но слитые файлы лежали в форматах, которые он не поддерживает. Плюс есть честно задокументированные дыры: параметры подключения к БД сканер пропускает сознательно, просто чтобы не душить разработчиков ложными срабатываниями. Рядом в пропусках гуляют ключи Google API и приватные ключи.