Truffle Security запустила відкликання 1,4 млн оприлюднених ключів доступу
Truffle Security запустила програму для відкликання 1,4 млн чинних API-ключів та інших секретів, що опинилися у відкритому доступі.
Компанія Truffle Security запустила безкоштовну програму Secrets Revocation Program, покликану допомогти постачальникам API-ключів відкликати 1,4 млн публічно розкритих секретів, які досі залишаються чинними. Про це повідомляє BleepingComputer.
Йдеться про облікові дані та ключі доступу, що випадково потрапили до відкритих репозиторіїв, програмних пакетів, контейнерних образів, наборів даних і застосунків. Такі дані можуть опинитися у публічному доступі через завантаження конфігураційних файлів, публікацію Docker-образів або додавання облікових даних до репозиторію під час розробки.
Чому ключі залишаються активними
У Truffle Security заявили, що власники ключів часто не реагують на повідомлення дослідників про витік. За даними компанії, 81% ключів, про які вона повідомила торік, залишалися робочими через шість місяців. Раніше Truffle Security також повідомляла про виявлення 543 тис. чинних облікових даних у публічних репозиторіях GitHub і понад 431 тис. секретів AWS у репозиторіях коду, історіях Git, наборах даних, Docker-образах, реєстрах і журналах CI.
Компанія зазначає, що від січня 2025 року виявила 2655 робочих ключів у конфігураційних файлах інструментів для програмування з ШІ. За її оцінкою, роком раніше такої проблеми не було.
Як працюватиме програма
Програма використовує інструмент TruffleHog для перевірки чинності виявлених ключів. Постачальники можуть надати endpoint для їх відкликання або отримувати перевірені ключі через webhook і відкликати їх упродовж 14 днів. Такий підхід має дозволити деактивувати дані доступу навіть тоді, коли їхні власники не відповідають на сповіщення.
До ініціативи вже приєдналися 16 емітентів ключів, зокрема Hugging Face, Notion, Vercel, Resend, RubyGems і Twilio. Truffle Security навела приклад Google, яка з 16 червня 2024 року почала за замовчуванням відключати скомпрометовані ключі облікових записів сервісів Google Cloud. За даними компанії, після автоматичного відкликання частка активних розкритих секретів знизилася з 72% до 11%.
