Lo scorso anno sono stati divulgati 10 milioni di segreti su GitHub

Mar 14, 2023 Dario Orlandi Approfondimenti, Leaks, News, RSS, Scenario, Scenario 0

GitGuardian ha pubblicato il nuovo report The State of Secrets Sprawl 2023, in cui analizza il codice pubblicato su GitHub nell’ottica della sicurezza informatica.

Secondo il rapporto, il numero di informazioni private e critiche (come password e chiavi API) rese disponibili involontariamente è cresciuta del 50% fino a raggiungere il valore di 5,5 su ogni 1.000 commit nei repository GitHub.

La percentuale può sembrare bassa, ma si traduce in almeno 10 milioni di informazioni segrete che vengono rese invece disponibili sui repository pubblici, per un totale di oltre 3 milioni di informazioni uniche distribuite.

L’analisi ha mostrato che il 38% delle divulgazioni riguardava segreti a entropia elevata, come le chiavi API e i seed dei generatori di numeri casuali, che rappresentano una minaccia grave per la sicurezza delle attività. Questi segreti sono diventati ancora più critici con l’aumento dell’uso del cloud.

Quando questi segreti vengono compromessi, possono causare danni significativi alle attività, sia in termini di costo che di reputazione. Anche se le password generiche rappresentano la maggioranza dei segreti compromessi (56%), le conseguenze della divulgazione dei segreti ad alta entropia sono molto più gravi.

Mackenzie Jackson, Developer Advocate di GitGuardian

Mackenzie Jackson, Developer Advocate di GitGuardian, ha commentato: “I segreti sono i gioielli della corona di qualsiasi azienda o organizzazione: possono davvero garantire l’accesso a tutti i sistemi e infrastrutture. Il rischio in caso di divulgazione è massimo perché può accadere qualsiasi cosa, da piccole esposizioni di dati fino al controllo completo del sistema, e tutto quello che sta nel mezzo”.

Secondo il report, milioni di chiavi si accumulano ogni anno non solo negli spazi pubblici, come le piattaforme di code-sharing, ma soprattutto in spazi chiusi come repository privati o risorse IT aziendali.

Ma nemmeno gli spazi privati sono al sicuro dalle minacce informatiche: Slack ha avvisato gli utenti che un numero limitato di token dei dipendenti era stato rubato, consentendo all’attore di minaccia di accedere ai repository di codice privati.

Anche il fornitore di piattaforme cloud Heroku ha riconosciuto che un utente malintenzionato ha ottenuto l’accesso ai token OAuth utilizzati per l’integrazione con GitHub, e ha rubato un database di password con hash e salt.

Infrastructure as code

Il crescente utilizzo del paradigma infrastructure-as-code (IaC) sta portando ad un aumento delle perdite di segreti. Con l’IaC, gli sviluppatori gestiscono l’infrastruttura tramite codice, specificando la configurazione dell’infrastruttura utilizzata dall’applicazione, inclusi server, database e reti definite dal software.

I segreti sono spesso necessari per controllare questi componenti e i file di configurazione per Docker, Kubernetes o Terraform spesso contengono segreti. Tre tipi di file comunemente utilizzati come cache per le informazioni sensibili dell’applicazione (,Env, .Key e .Pem), sono considerati i più sensibili, perché contengono il maggior numero di segreti per file.

Gli sviluppatori dovrebbero evitare a ogni costo di caricare questi file in un repository pubblico. Ciò evidenzia l’importanza di un’adeguata sicurezza informatica quando si utilizzano queste tecnologie per garantire la protezione dei segreti delle aziende.

Condividi l'articolo