Truffle Security, 2022'den beri kamu depoları, paketler, konteyner görüntüleri, veri kümeleri ve uygulamalarda gizli anahtarların gömülü olduğunu keşfetmeye devam eden bir şirket. Şirket, erken bu yıl GitHub deponalarında 543.000 geçerli kimlik bilgisi sızıntısı bildirmiş ve ayrı bir araştırmada kod depoları, Git geçmişleri, veri kümeleri, Docker görüntüleri, kayıt defterleri ve CI günlüklerinde 431.000 AWS sırrını tespit etmiştir. Bu sırrlar genellikle geliştirme sürecinde hata ile ortaya çıkar, kamusal depolara kimlik bilgileri işlenerek, yayınlanmış Docker görüntüleri veya paketler içine eklenerek veya bir uygulamayla birlikte yüklenmiş yapılandırma dosyaları bırakılarak ortaya çıkar.
Şirket, bu sırrın sahipleri araştırmacılar tarafından verilen uyarılara yanıt vermiyor olması sorun olduğunu belirtti. Geliştiricilere anahtarların sızıp çıktığını bildirmek onları kapatmaktan geliyor: Geçen yıl bize bildirdiğimiz 81% anahtarlar yedi ay sonra hâlâ çalışıyordu.
Truffle'ın yeni programı, TruffleHog aracını kullanarak sızıntı anahtarların geçerliliğini kontrol ederek, sorumlu varlıklarla koordine ederek sızıntı sırrların iptalini hedefliyor. Program, iptal ucu sağlayan varlıklardan ya da webhook üzerinden doğrulanmış anahtarlar sağlayarak onları 14 gün içinde iptal etme seçeneği sun