InfoQ
·
公共代码库中的凭证泄露问题比以往更严重，最新报告显示
内容提要
GitGuardian报告显示，2024年凭证泄露问题加剧，公共GitHub代码库中发现的秘密增加25%，共检测到2380万个新硬编码秘密，其中58%为“通用”秘密。私有库泄露风险更高，开发者存在安全盲区。同时，Docker Hub也发现大量活跃的泄露凭证。GitHub和GitLab等工具正在努力应对这一问题。
关键要点
-
GitGuardian报告显示，2024年凭证泄露问题加剧，公共GitHub代码库中发现的秘密增加25%。
-
2024年在公共GitHub提交中检测到2380万个新硬编码秘密，显示敏感凭证泄露趋势上升。
-
秘密泄露被认为是过去一年多起高调黑客事件的原因，包括纽约时报源代码泄露和Sisense凭证泄露。
-
报告指出，58%的检测到的秘密为“通用”秘密，通常是硬编码密码、数据库连接字符串等，且自动扫描工具常常漏掉这些格式。
-
GitHub的Push Protection工具有效减少了已知凭证模式的提交，但对通用秘密的识别仍然存在困难。
-
私有库中发现秘密的概率是公共库的八倍，开发者对私有库的安全性存在误解。
-
除了源代码库，Slack、Jira和Confluence等协作工具中也存在大量秘密泄露事件。
-
在公共Docker Hub中发现超过10万个秘密，包括AWS和GCP密钥，缺乏通知系统加剧了泄露问题。
-
70%的2022年检测到的秘密在2024年仍然活跃，表明凭证生命周期管理不善。
-
GitGuardian利用机器学习改进秘密检测，增强了对不规则秘密的验证信心。
-
GitHub和GitLab等工具正在积极开发工具以减少秘密泄露问题。
延伸解读
凭证泄露的严重性
根据GitGuardian的报告，2024年公共GitHub代码库中的凭证泄露问题加剧，新增2380万个硬编码秘密，显示出开发环境中敏感信息泄露的趋势。开发者需提高警惕，确保代码中不包含敏感凭证，以防止潜在的安全风险。
私有库的安全盲区
报告指出，私有库中发现秘密的概率是公共库的八倍，开发者往往对私有库的安全性存在误解。这提醒开发者，即使在私有环境中，也应实施严格的安全措施，避免因安全盲区导致的泄露风险。
通用秘密的挑战
58%的泄露秘密为“通用”秘密，通常不具备明显格式，自动扫描工具难以识别。这表明，开发者在使用自动化工具时，需对通用秘密保持警惕，并考虑手动审查以确保安全。
凭证生命周期管理的重要性
报告显示，70%的2022年检测到的秘密在2024年仍然活跃，反映出凭证生命周期管理不善的问题。企业应加强对凭证的管理，定期更新和轮换凭证，以降低被滥用的风险。
延伸问答
2024年公共GitHub代码库中的凭证泄露情况如何？
2024年公共GitHub代码库中发现的秘密增加了25%，共检测到2380万个新硬编码秘密。
凭证泄露的主要原因是什么？
凭证泄露的主要原因包括硬编码密码和数据库连接字符串等通用秘密的增加，这些秘密占检测到的58%。
私有库与公共库的凭证泄露风险有什么不同？
私有库中发现秘密的概率是公共库的八倍，开发者对私有库的安全性存在误解。
GitHub如何应对凭证泄露问题？
GitHub推出了Push Protection工具，旨在阻止包含已知凭证模式的提交，并积极开发其他工具以减少秘密泄露。
Docker Hub中发现了什么样的凭证泄露？
在公共Docker Hub中发现超过10万个秘密，包括AWS和GCP密钥，缺乏通知系统加剧了泄露问题。
凭证生命周期管理不善的后果是什么？
70%的2022年检测到的秘密在2024年仍然活跃，表明凭证生命周期管理不善，增加了被滥用的风险。
