70% секретов, обнаруженных в публичных репозиториях GitHub в 2022 году, остаются действующими и на сегодняшний день

GitGuardian выпустил ежегодный отчет о проблемах управления секретами в различных сервисах (GitHub, Docker Hub) и инструментах (Slack, Jira, Confluence).
Главные выводы и статистика:
58% обнаруженных секретов относятся к категории неструктурированных/универсальных ("generic"). В эту категорию можно отнести жестко закодированные пароли, строки подключения к БД, токены аутентификации. Такие секреты сложно обнаружить автоматизированными средствами поиска.
В приватных репозиториях хранится в 8 раз больше секретов, чем в публичных, что говорит о том, что разработчики... ленивы!😅
Им проще закрыть репо, чем удалить секреты и не использовать жестко закодированные пароли и токены.
Разработчики всё чаще хранят секреты в инструментах для совместной работы (Slack, Jira, Confluence). На первом скрине можно увидеть статистику по каждому инструменту.
Анализ 15 миллионов публичных образов Docker (на Docker Hub) выявил около 100 000 действующих секретов, включая ключи AWS, GCP и токены GitHub, принадлежащие компаниям из списка Fortune 500. Примечательно, что 98% обнаруженных секретов находились исключительно в слоях образов.
В репозиториях, где используется Copilot, частота утечек секретов на 40% выше, чем в среднем по всем публичным репозиториям. Это может быть связано как с тем, что код, генерируемый LLM, может быть менее безопасным, так и с тем, что использование ИИ может подталкивать разработчиков к приоритизации производительности в ущерб безопасности.
Обнаруженные секреты часто остаются неисправленными в течение длительного времени. 70% действующих секретов, обнаруженных в публичных репозиториях в 2022 году, остаются активными и сегодня.
Менеджеры секретов не решают все проблемы — фрагментация инструментов управления секретами и небезопасная аутентификация к ним являются факторами риска. Кроме того, они обычно не управляют полным жизненным циклом учетных данных.
Анализ публичных данных выявил, что значительный процент скомпрометированных токенов GitLab и GitHub обладали избыточными разрешениями. Например, 99% API-ключей GitLab имели полный доступ (58%) или доступ только для чтения (41%), а 96% токенов GitHub имели доступ на запись, причем 95% из них предоставляли полный доступ к репозиториям.

Рекомендации:
Внедрение комплексной стратегии управления секретами, включающей обнаружение, предотвращение, исправление и мониторинг.
Усиление безопасности инструментов для совместной работы.
Обучение разработчиков безопасным практикам работы с секретами.
Внедрение автоматизированных процессов ротации и отзыва секретов.
Минимизация привилегий доступа для не-человеческих идентификаторов (NHIs).
Использование динамических секретов вместо статических, там где это возможно.
Уделять внимание безопасности образов Docker.

#nhi #secrets #sprawl #github #jira #confluence #tokens #api #password #copilot #gitlab