Более 12 миллионов секретов стали общедоступны на GitHub и Python PyPI

Более 12 миллионов секретов стали общедоступны на GitHub и Python PyPI

Более 12 миллионов секретов стали общедоступны на GitHub и Python PyPI

Эксперты GitGuardian в своём отчете за 2023 год обнародовали информацию более чем о 10 миллионах раскрытых секретов и ключей аутентификации в публичных коммитах GitHub.

К ним относятся пароли, ключи API и другие учетные данные. Поразительно, но к 2024 году стало известно о новых прецедентах – более 12,8 млн раскрытых секретов в GitHub, а так же о некотором числе утечек в популярном репозитории Python PyPI, которые содержат более 20 терабайт файлов в свободном доступе.

По словам GitGuardian, за 2023 год ключи API OpenAI, ключи API Google и ключи Google Cloud стали самыми распространенными обнародованными секретами. К сожалению, это влечет за собой возможность несанкционированного доступа угрозу утечки данных. Ведь любому грамотному специалисту будет по силам найти один общий формат секрета, написав регулярное выражение и использовав автоматизацию проверок на валидность. Тем самым он добывает конфиденциальную информацию.

К сожалению, доверие к публичным репозиториям падает. Ключи, опубликованные в GitHub или PyPI, считаются изначально скомпрометированными. Исследователи провели ряд тестов, где honeytoken (своего рода "разряженный" API-ключ, не имеющий доступа ни к каким ресурсам) проверялся на валидность ботами в течение минуты после публикации на GitHub.

Honeytokens остаются недооцененными, ведь они выступают в роли "доносчика" для все большего числа разработчиков. Они помогают увидеть, что кто-то шпионил там, где вы их разместили, и получить некоторую информацию на основе данных телеметрии, собранных при использовании honeytoken.

Больше всего беспокойства вызывает не только факт, что при публикации секрета злоумышленник может добраться до cloud bill, но и возможность утечки более серьёзной информации при избыточных полномочиях секрета.

Если вдруг вы обнаружили утечку секрета в публичной коллекции исходного кода, то для начала — отзовите его. Помните, что как только ваш секрет опубликован, то он с большой вероятностью уже скопирован. Несмотря на то, что исходный код находится в закрытом хранилище, злоумышленники способны получить доступ к ним при помощи социальной инженерии, фишинга и утечки секретов.

Нужно понимать, что секреты в исходном коде рано или поздно обнаруживаются как в частном хранилище, так и в публичном реестре. Чтобы хоть каким-то способом обезопасить себя, придерживайтесь следующих правил:

  • не храните секреты открытым текстом в исходном коде;
  • ограничивайте привилегии, которые эти секреты предоставляют;
  • если вы обнаружили утечку секрета, отмените его;
  • внедрите автоматизацию, подобную той, что предлагает GitGuardian.

Следуя данным правилам, вам, возможно, не придется сталкиваться с утечкой секретов.

Напомним, в конце прошлого месяца популярный репозиторий Python Package Index (PyPI) ограничил возможность регистрации новых пользователей после масштабной вредоносной кампании по распространению трояна, похищающего данные.

А в январе GitHub провел ротацию ключей после возможной компрометации учетных данных.

Подпишитесь на новости

Соцсети и сайты предложили штрафовать за рекламу снятия порчи, услуг братвы

Зарабатывать на объявлениях «дам наличку» и «решу вопрос силой» площадкам предлагают запретить под угрозой штрафов и блокировки. Депутат Госдумы от ЛДПР Каплан Панеш хочет обязать сайты объявлений и соцсети проверять публикации до размещения. Перечень запрещённых категорий, по его предложению, должно утвердить правительство.

С такой инициативой парламентарий выступил в беседе с ТАСС. В вышеупомянутый перечень Панеш предлагает включить нелегальное кредитование, академический обман, криминальные услуги и обман потребителей.

В депутатский стоп-лист попали предложения займов от нелегальных кредиторов, написание дипломов и диссертаций за деньги, силовое взыскание долгов и выселение. Отдельное внимание досталось гадалкам и продавцам чудес с обещаниями вернуть мужа за три дня или обеспечить фантастическое похудение.

По мнению Панеша, площадки получают деньги за размещение таких предложений, но прикрываются статусом информационного посредника. Депутат считает, что эта позиция не должна освобождать их от контроля контента.

Для владельцев ресурсов он предлагает административные штрафы, сопоставимые с санкциями за нарушение закона о рекламе. При повторных нарушениях — блокировку сайта. Размеры штрафов в сообщении не названы.

Кроме того, площадки хотят обязать передавать надзорным органам по запросу данные авторов объявлений, чтобы ответственность не заканчивалась удалением публикации.

Для этого Панеш предлагает изменить закон об информации и КоАП. Пока речь идёт об инициативе депутата: о внесённом законопроекте или принятом решении в сообщении не говорится.

Если предложение получит ход, модераторам придётся внимательнее разбираться, где обычная услуга, где сомнительное обещание, а где уже предложение приехать с братвой.

RSS: Новости на портале Anti-Malware.ru