GitHub til at scanne koder for følsomme oplysninger før upload for at opdage potentielle lækager
2 min. Læs
Udgivet den
Del denne artikel
Forbedre denne vejledning
Læs vores oplysningsside for at finde ud af, hvordan du kan hjælpe MSPoweruser med at opretholde redaktionen Læs mere
Nøgle noter
- GitHub scanner automatisk offentlig kode for hemmelige lækager (API-nøgler, tokens).
- Push til offentlige reposer, der indeholder hemmeligheder, vil blive blokeret, med muligheder for at rette eller omgå.
- Sigter mod at reducere utilsigtede lækager og forbedre udviklerens sikkerhedsposition.
- Standard opt-in, med bypass og avanceret beskyttelse til private reposer tilgængelig.
GitHub, som for nylig lancerede $20/måned Copilot Enterprise, har annonceret en ny sikkerhedsfunktion til offentlige depoter. Med øjeblikkelig virkning begynder GitHub automatisk at scanne kode for følsomme oplysninger, såsom API-nøgler og tokens, før den uploades. Hvis en potentiel lækage opdages, vil skubningen blive blokeret.
Denne ændring kommer som reaktion på en bekymrende tendens med utilsigtede hemmelige lækager i offentlige depoter. GitHub rapporterer identificere over 1 million sådanne lækager alene i de første otte uger af 2024.
Utilsigtet eksponering af følsomme oplysninger kan have alvorlige konsekvenser. Denne nye funktion har til formål at mindske denne risiko og forbedre den overordnede sikkerhed i udviklerfællesskabet.
Hvordan fungerer funktionen?
Offentlige kodelagre på GitHub vil nu gennemgå automatisk scanning efter foruddefinerede "hemmeligheder" under push-processen. Hvis en potentiel lækage identificeres, vil udvikleren blive underrettet og tilbydes to muligheder: Fjern hemmeligheden eller omgå blokeringen (selvom denne mulighed ikke anbefales). Udrulningen af denne funktion kan tage op til en uge for at nå alle brugere, som også kan vælge at aktivere den tidligt i deres sikkerhedsindstillinger.
Det har flere fordele for udviklere. Det hjælper med at reducere risikoen for lækager ved automatisk at scanne for hemmeligheder, hvilket kan forhindre utilsigtet eksponering af følsomme oplysninger. Derudover kan denne funktion bidrage til et mere sikkert udviklingsmiljø for individuelle udviklere og open source-fællesskabet og dermed forbedre den overordnede sikkerhedsposition.
Mens push-beskyttelse er nu aktiveret som standard, udviklere kan omgå blokeringen fra sag til sag. Det anbefales ikke at deaktivere funktionen helt.
For organisationer, der administrerer private repositories, tilbyder et abonnement på GitHub Advanced Security-planen yderligere sikkerhedsfunktioner ud over hemmelig scanning, såsom kodescanning og AI-drevne kodeforslag.
Mere link..
