GitHub的新功能-Advanced Security會在每次推送時進行秘密掃描

GitHub透過Git進行版本控制的開源軟體平台,版本控制的目的是備份與共享。近日GitHub宣布加入GitHub Advanced Security-秘密掃描(Secret Scanning)功能,以防止用戶在推送程式碼時,將敏感資訊上傳至Repository(Git的儲存庫), 避免意外事件而導致機密資訊外洩。

這些敏感資訊常見的為程式與伺服器溝通時所使用的令牌(token)或私鑰(private key),通常用於程式與外部進行溝通,並常被建議不要儲存於資料庫,而是存在外部專用的安全位置。GitHub將推出69種不同的令牌類型,但並非可用於所有程式碼中,此新功能主要保護置於項目工作流程的程式碼。

該公司表示,GitHub Advanced Security的新推送保護功能將秘密掃描嵌入到開發人員的工作流程中,為了在不影響開發效率的情況下,該功能只實現在可以被準確檢測的令牌類型,因此Facebook和幾種Google令牌的類型並無包含在內。

SolarWinds為一家幫助企業管理網路與系統等的軟體開發公司,該公司曾表示,若GitHub數據庫中的私有資訊意外洩露會導致許多問題,以往曾發生過一間公司之實習生將密碼儲存於資料庫中,然而卻被意外洩漏。2019年的一項研究發現,超過100,000個資料庫中存有令牌或私鑰,使得駭客可以通過搜尋常見的令牌類型等方式輕鬆地破解,因此GitHub希望能透過新增的秘密掃描功能來遏止此類事項發生。

相關連結:

Joe Uchill(2022). GitHub Advanced Security now scans for secrets with each push. SCMedia. 

檢自:

https://www.scmagazine.com/analysis/application-security/github-advanced-security-now-scans-for-secrets-with-each-push (Apr. 18, 2022)

Leave a Comment

發佈留言必須填寫的電子郵件地址不會公開。

回到頂端