Функция обнаружения утечек секретов GitHub теперь открыта для общедоступных репозиториев

Сервис GitHub объявил , что функция оповещений о сканировании секретов «Secret Scanning» теперь открыта для всех общедоступных репозиториев и может быть включена для обнаружения утечек секретов во всей истории публикаций.

Секреты — это конфиденциальные данные, случайно добавленные в репозитории GitHub, включая API-ключи, пароли учетных записей, токены аутентификации и другие данные, которые могут позволить злоумышленникам получить доступ к конфиденциальной информации. Хакеры обычно ищут в общедоступных репозиториях GitHub секреты аутентификации, чтобы взломать сети, украсть данные или выдать себя за компанию в своих собственных атаках.

В декабре 2022 года GitHub начал распространять бета-версию бесплатной функции оповещения о сканировании секретов во всех публичных репозиториях, которая сканирует более 200 форматов токенов, чтобы помочь разработчикам обнаружить случайную утечку конфиденциальных данных. С тех пор 70 000 публичных репозиториев включили эту функцию.

1 марта сервис стал общедоступным, и все владельцы публичных репозиториев могут включить оповещения о сканировании cекретов для защиты своих данных. DevOps-консультант «@rajbos» отметил возможности опции – он включил её в 13 954 общедоступных репозиториях GitHub Action и обнаружил секреты в 1110 (7,9%) из них.

Обнаруженные секреты консультанта содержат токены аутентификации, API-ключи и другую конфиденциальную информацию

Администратор общедоступного репозитория может легко включить предупреждения о сканировании секретов по следующему пути: Настройки – Безопасность – Безопасность и анализ кода – Сканирование секретов – Включить. GitHub выпустил документацию , в которой описал, как работает новая функция и как её правильно использовать.