В 224 миллионах открытых репозиториев утекшие доступы живут в среднем по два года: к такому выводу пришли исследователи. Самый старый рабочий ключ висит там вообще с 2009 года.
Разработчики заливают на платформу код своих проектов, а вместе с ним регулярно выкладывают секретные токены для входа в облачные хранилища.
Всего исследователи насчитали больше 1,1 миллиона слитых записей. Ровно половина из них до сих пор работает.
Хуже всего дела с базами данных и облачной инфраструктурой:
- к базам PostgreSQL активными остались 88% найденных ключей;
- для сервисов Google Cloud исследователи обнаружили 69 тысяч действующих доступов;
- в открытом виде лежит 51 тысяча строк подключения к базам MongoDB.
Около 200 тысяч активных ключей утекли уже после того, как платформа запустила базовую встроенную защиту.
Автоматический фильтр GitHub до сих пор пропускает конфиденциальные параметры баз данных и ключи API.
Похоже, компаниям пора срочно отозвать старые токены, пока чужие серверы инспектируют аналитики, а не вымогатели.
Что это значит
Встроенная защита не видит все пароли в коде, поэтому после работы с наёмными программистами доступы лучше сразу менять.
