InfoQ
·
研究人员在GitHub的“Oops Commits”中发现数千个泄露的秘密
内容提要
安全研究员Sharon Brizinov与Truffle Security合作，调查GitHub上的“oops commits”，发现大量遗留的高价值秘密，如令牌和管理员凭证。他们发布了开源工具“Force Push Scanner”，帮助用户扫描潜在泄漏。研究表明，开发者常误认为删除的提交是安全的，实际上仍可被访问。建议使用秘密管理工具和环境变量，并定期扫描旧提交，以防敏感数据泄露。
关键要点
-
安全研究员Sharon Brizinov与Truffle Security合作，调查GitHub上的“oops commits”，发现大量遗留的高价值秘密。
-
发布了开源工具“Force Push Scanner”，帮助用户扫描潜在泄漏。
-
GitHub保留每个公共提交，即使开发者试图通过强制推送删除，这些提交仍然可以访问。
-
研究发现，开发者常误认为删除的提交是安全的，实际上仍可被访问。
-
建议使用秘密管理工具和环境变量，避免硬编码凭证。
-
存储秘密在安全平台如HashiCorp Vault、AWS Secrets Manager或Azure Key Vault，确保敏感数据不进入代码库。
-
在多个阶段强制执行秘密扫描，包括本地和CI/CD管道。
-
一旦秘密暴露，应立即撤销和轮换凭证，减少风险窗口。
-
实施严格的访问控制，确保开发者和服务仅访问所需凭证。
-
创建强大的安全文化，培训团队识别提交秘密的风险，采用安全处理实践。
延伸解读
GitHub提交的隐私误区
许多开发者误认为通过强制推送删除的提交是安全的，但研究表明，这些提交仍然可以被访问。这提醒开发者在处理敏感信息时要更加谨慎，不能仅依赖删除操作来保护数据。
秘密管理的重要性
文章强调使用秘密管理工具和环境变量来替代硬编码凭证。将敏感信息存储在安全平台如HashiCorp Vault或AWS Secrets Manager，可以有效降低数据泄露的风险，确保敏感信息不进入代码库。
建立安全文化的必要性
除了技术工具，创建强大的安全文化同样重要。团队应接受培训，识别提交秘密的风险，并采用安全处理实践。通过结合技术和文化的变革，可以显著降低秘密暴露的风险。
延伸问答
什么是GitHub上的“oops commits”？
“oops commits”是指开发者强制推送或删除的提交，这些提交仍然被GitHub保留在档案中。
研究人员发现了哪些类型的泄露秘密？
研究人员发现了高价值的秘密，包括令牌和管理员凭证，如GitHub个人访问令牌和AWS凭证。
Force Push Scanner工具的功能是什么？
Force Push Scanner是一个开源工具，用于扫描GitHub组织或用户账户中的孤立提交，帮助识别隐藏的泄露和漏洞。
如何防止敏感数据泄露？
开发者应使用秘密管理工具和环境变量，避免硬编码凭证，并定期扫描旧提交以发现潜在泄露。
一旦秘密被暴露，应该采取什么措施？
一旦秘密暴露，应立即撤销和轮换凭证，以减少风险窗口。
为什么开发者常误认为删除的提交是安全的？
开发者常误认为删除的提交是安全的，因为他们不知道这些提交仍然可以被访问，实际上GitHub保留了所有公共提交。
