GitHub pro skenování kódů pro citlivé informace před nahráním za účelem zjištění potenciálních úniků
2 min. číst
Publikované dne
Sdílejte tento článek
Vylepšete tuto příručku
Přečtěte si naši informační stránku a zjistěte, jak můžete pomoci MSPoweruser udržet redakční tým Dozvědět se více
Klíčové poznámky
- GitHub automaticky skenuje veřejný kód na tajné úniky (klíče API, tokeny).
- Push to public repo obsahující tajné položky bude zablokováno, s možnostmi opravit nebo obejít.
- Jeho cílem je omezit náhodné úniky a zlepšit stav zabezpečení vývojářů.
- Výchozí opt-in s obtokem a pokročilou ochranou pro soukromé repozitáře.
GitHub, který nedávno spustil 20 $ měsíčně Copilot Enterprise, oznámila novou bezpečnostní funkci pro veřejná úložiště. S okamžitou platností začne GitHub před nahráním automaticky skenovat kód pro citlivé informace, jako jsou klíče API a tokeny. Pokud je zjištěna potenciální netěsnost, tlak bude zablokován.
Tato změna je reakcí na znepokojivý trend náhodných tajných úniků ve veřejných úložištích. GitHub uvádí, že jen za prvních osm týdnů roku 1 identifikuje více než 2024 milion takových úniků.
Náhodné vystavení citlivých informací může mít vážné následky. Tato nová funkce má za cíl toto riziko zmírnit a zlepšit celkovou bezpečnost v rámci vývojářské komunity.
Jak tato funkce funguje?
Úložiště veřejného kódu na GitHubu nyní podstoupí automatické skenování předem definovaná „tajemství“ během procesu push. Pokud je identifikován potenciální únik, vývojář bude upozorněn a nabídnuty dvě možnosti: odstranit tajný klíč nebo obejít blok (ačkoli tato možnost se nedoporučuje). Zavedení této funkce může trvat až týden, než se dostane ke všem uživatelům, kteří si ji také mohou povolit brzy v rámci svých nastavení zabezpečení.
Pro vývojáře má několik výhod. Pomáhá snižovat riziko úniku tím, že automaticky prohledává tajemství, což může zabránit náhodnému odhalení citlivých informací. Tato funkce může navíc přispět k bezpečnějšímu vývojovému prostředí pro jednotlivé vývojáře a komunitu s otevřeným zdrojovým kódem, a tím zlepšit celkovou pozici zabezpečení.
Zatímco ochrana proti tlaku je nyní ve výchozím nastavení povoleno, vývojáři mohou tento blok obejít případ od případu. Úplné zakázání této funkce se nedoporučuje.
Pro organizace spravující soukromá úložiště nabízí předplatné plánu GitHub Advanced Security další bezpečnostní funkce nad rámec tajného skenování, jako je skenování kódu a návrhy kódů založené na AI.
Moře zde.
