Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

GitHub lancia Secret Scanning contro la divulgazione di credenziali

Mar 06, 2023 Dario Orlandi Hacking, News, Privacy, RSS, Tecnologia 0

GitHub ha lanciato una nuova funzione gratuita che aiuta le organizzazioni e gli sviluppatori a identificare credenziali e segreti, come per esempio token e chiavi private, che potrebbero essere rimasti visibili all’interno del loro codice.

La funzione è stata inizialmente rilasciata in versione beta a dicembre 2022, ma ora è disponibile in maniera ufficiale. Se la funzione Secret scanning è abilitata, gli sviluppatori vengono informati di eventuali informazioni confidenziali potenzialmente esposte e possono abilitare gli avvisi in tutti i loro repository.

La funzione è supportata da oltre 100 fornitori di servizi nel GitHub Partner Program e fornisce notifiche e un log di controllo anche per le chiavi self-hosted esposte, per una visibilità completa dei potenziali rischi.

Gli avvisi per i partner vengono consegnati automaticamente a tutti i repository pubblici per informare i fornitori di servizi quando i loro segreti vengono divulgati. Ogni volta che un repository viene reso pubblico, GitHub lo analizza alla ricerca di informazioni segrete che corrispondono ai modelli dei partner.

Risposta personalizzabile

I fornitori di servizi possono decidere quindi se il segreto deve essere revocato e se deve essere rilasciato un nuovo segreto o contattare direttamente l’amministratore o il proprietario del repository, a seconda dei rischi associati con la divulgazione involontaria.

La funzione Secret scanning può essere abilitata da qualsiasi proprietario o amministratore di un repository pubblico, mentre le organizzazioni possono abilitare in blocco le notifiche per più repository.

Per abilitare la funzione Secret scanning, gli amministratori devono accedere alla sezione Code security and analysis, presente nell’elenco delle sezioni lungo il margine sinistro della scheda Settings, nella sezione Security. La nuova opzione è disponibile in fondo al lungo elenco, e può essere attivato con un semplice clic sul pulsante Enable.

Ogni volta che viene identificato un’informazione segreta, GitHub invia avvisi tramite posta elettronica agli amministratori del repository e ai proprietari dell’organizzazione e al collaboratore che ha compromesso il dato.

Condividi l'articolo