Aggiornamenti recenti Luglio 26th, 2024 2:16 PM
Mar 14, 2023 Dario Orlandi Approfondimenti, Leaks, News, RSS, Scenario, Scenario 0
GitGuardian ha pubblicato il nuovo report The State of Secrets Sprawl 2023, in cui analizza il codice pubblicato su GitHub nell’ottica della sicurezza informatica.
Secondo il rapporto, il numero di informazioni private e critiche (come password e chiavi API) rese disponibili involontariamente è cresciuta del 50% fino a raggiungere il valore di 5,5 su ogni 1.000 commit nei repository GitHub.
La percentuale può sembrare bassa, ma si traduce in almeno 10 milioni di informazioni segrete che vengono rese invece disponibili sui repository pubblici, per un totale di oltre 3 milioni di informazioni uniche distribuite.
L’analisi ha mostrato che il 38% delle divulgazioni riguardava segreti a entropia elevata, come le chiavi API e i seed dei generatori di numeri casuali, che rappresentano una minaccia grave per la sicurezza delle attività. Questi segreti sono diventati ancora più critici con l’aumento dell’uso del cloud.
Quando questi segreti vengono compromessi, possono causare danni significativi alle attività, sia in termini di costo che di reputazione. Anche se le password generiche rappresentano la maggioranza dei segreti compromessi (56%), le conseguenze della divulgazione dei segreti ad alta entropia sono molto più gravi.
Mackenzie Jackson, Developer Advocate di GitGuardian
Mackenzie Jackson, Developer Advocate di GitGuardian, ha commentato: “I segreti sono i gioielli della corona di qualsiasi azienda o organizzazione: possono davvero garantire l’accesso a tutti i sistemi e infrastrutture. Il rischio in caso di divulgazione è massimo perché può accadere qualsiasi cosa, da piccole esposizioni di dati fino al controllo completo del sistema, e tutto quello che sta nel mezzo”.
Secondo il report, milioni di chiavi si accumulano ogni anno non solo negli spazi pubblici, come le piattaforme di code-sharing, ma soprattutto in spazi chiusi come repository privati o risorse IT aziendali.
Ma nemmeno gli spazi privati sono al sicuro dalle minacce informatiche: Slack ha avvisato gli utenti che un numero limitato di token dei dipendenti era stato rubato, consentendo all’attore di minaccia di accedere ai repository di codice privati.
Anche il fornitore di piattaforme cloud Heroku ha riconosciuto che un utente malintenzionato ha ottenuto l’accesso ai token OAuth utilizzati per l’integrazione con GitHub, e ha rubato un database di password con hash e salt.
Il crescente utilizzo del paradigma infrastructure-as-code (IaC) sta portando ad un aumento delle perdite di segreti. Con l’IaC, gli sviluppatori gestiscono l’infrastruttura tramite codice, specificando la configurazione dell’infrastruttura utilizzata dall’applicazione, inclusi server, database e reti definite dal software.
I segreti sono spesso necessari per controllare questi componenti e i file di configurazione per Docker, Kubernetes o Terraform spesso contengono segreti. Tre tipi di file comunemente utilizzati come cache per le informazioni sensibili dell’applicazione (,Env, .Key e .Pem), sono considerati i più sensibili, perché contengono il maggior numero di segreti per file.
Gli sviluppatori dovrebbero evitare a ogni costo di caricare questi file in un repository pubblico. Ciò evidenzia l’importanza di un’adeguata sicurezza informatica quando si utilizzano queste tecnologie per garantire la protezione dei segreti delle aziende.
Lug 23, 2024 0
Lug 10, 2024 0
Giu 19, 2024 0
Giu 14, 2024 0
Lug 26, 2024 0
Lug 26, 2024 0
Lug 25, 2024 0
Lug 25, 2024 0
Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa per...Lug 24, 2024 0
Con l’obiettivo di assicurare un adeguato livello di...Lug 23, 2024 0
Le password sono ormai universalmente riconosciute come un...Lug 23, 2024 0
Sembra un numero fin troppo elevato, ma è tutto vero:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 26, 2024 0
Tanti videogiocatori si affidano ai cheat per avere più...Lug 25, 2024 0
I ricercatori di ESET hanno scoperto EvilVideo, una...Lug 25, 2024 0
Daggerfly, gruppo di cybercriminali cinesi conosciuto anche...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa...