Desde 2014, o GitHub tem sido alvo de ataques por parte de criminosos que procuram vazar segredos da organização. Alguns desses ataques foram bem-sucedidos, resultando na divulgação de credenciais de acesso e tokens de autenticação.
O GitHub está implementando uma nova ferramenta para ajudar a evitar que esses segredos sejam expostos. A ferramenta, chamada de Secrets Detection, analisa o conteúdo de um repositório em busca de padrões de sequências de caracteres que possam representar segredos.
Secrets Detection é baseado em três conjuntos de regulamentações:
1. Lista de palavras-chave comuns em arquivos que contêm segredos, como “token”, “credencial”, “senha” e “chave”.
2. Lista de sinais de conteúdo sensível, como sequências de caracteres que representam chaves de API, endereços de e-mail e números de cartão de crédito.
3. Heurística de análise de conteúdo para detectar padrões de sequências de caracteres que podem representar segredos.
Com a ferramenta, o GitHub espera que os desenvolvedores sejam mais cuidadosos ao trabalharem com segredos em seus repositórios. A empresa também aconselha os desenvolvedores a utilizarem variáveis de ambiente ou serviços de configuração, como o AWS Secrets Manager, para gerenciar seus segredos de forma segura.
Pesquisa com 1.131 usuários do Character.AI e 464 mil mensagens doadas encontrou associação entre uso…
Modelo de mistura de especialistas ativa 95 bilhões de parâmetros por token e traz rastros…
Relatório técnico da Microsoft com nove universidades descreve um runtime que mantém estado durável entre…
Injeção de SQL em campo de autocompletar levou invasores a compilar um kit Java como…
Microsoft rastreou mais de 250 domínios que só mostram a isca a quem parece usar…
Sistema agêntico da Unit 42 varreu 3.915 projetos em dois meses e reportou 14.090 falhas…