В открытых GitHub-репозиториях нашли 543 тысячи действующих ключей и токенов

Компания Truffle Security опубликовала результаты масштабного анализа утечек учётных данных в репозиториях GitHub. Исследователи проверили 224 млн репозиториев и 58 млрд файлов, обнаружив 543 тысячи токенов, API-ключей и паролей, которые на момент проверки всё ещё оставались действующими.

В среднем найденные данные находились в открытом доступе 784 дня. Самые старые активные ключи, обнаруженные в ходе исследования, были опубликованы ещё в 2009 году. Это показывает, что удаление секрета из текущей версии файла не гарантирует его исчезновения: учётные данные могут сохраняться в истории изменений репозитория и использоваться злоумышленниками спустя годы.

Почему защита GitHub пропустила часть утечек

Около 200 тысяч найденных секретов появились в репозиториях уже после того, как GitHub включил по умолчанию механизм блокировки утечек. Он проверяет содержимое файлов при отправке изменений через push-запрос и может остановить публикацию известных типов секретов.

Однако защита распознала не все утечки. В ряде случаев файлы были сохранены в форматах, которые инструмент не поддерживал. Механизм способен выявлять токены популярных сервисов, включая GitHub, AWS, Slack, SendGrid, Stripe и Google Cloud Platform. При этом он намеренно пропускает параметры подключения к базам данных, чтобы снизить число ложных срабатываний, а также не распознаёт ключи доступа к API Google и закрытые ключи.

Какие данные чаще всего оставались рабочими

Большинство неактивных учётных данных относилось к сервисам, где токены можно отозвать или автоматически сделать недействительными. Например, среди 101 886 найденных токенов NPM действующим оказался только один — около 0,001%.

Для GitHub исследователи обнаружили 73 048 токенов, из которых рабочими оставались 260, или 0,35%. Среди 30 437 токенов Hugging Face действующими были 15, что соответствует 0,05%.

Иная картина наблюдалась у данных для подключения к базам и инфраструктурным сервисам. Из 12 985 учётных данных PostgreSQL активными оставались 11 465, или 88%. Для MySQL показатель составил 74%: 1806 действующих записей из 2421 обнаруженной. У Google Cloud рабочими оказались 54% данных — 69 041 из 126 963.

Для SendGrid Truffle Security зафиксировала 40% действующих токенов — 9189 из 22 800. У Docker Hub этот показатель составил 33%: 1244 рабочих учётных записи из 3790. Результаты исследования указывают, что наибольший риск создают не только публичные токены популярных платформ, но и параметры доступа к базам данных и облачной инфраструктуре, которые системы автоматической проверки могут не выявлять.