Truffle Security стартира безплатна инициатива за координирано отнемане на достъпа на около 1,4 милиона публично изложени секретни данни, които продължават да бъдат валидни. Програмата Secrets Revocation Program цели да намали риска от компрометиране на акаунти, облачни услуги и приложения, като премахва необходимостта издателите да разчитат единствено на реакцията на собствениците на ключовете.
От 2022 г. компанията открива чувствителни данни, публикувани в публични хранилища, софтуерни пакети, контейнерни образи, набори от данни и приложения. Сред тях са API ключове, токени и други идентификационни данни, които могат да предоставят достъп до корпоративни системи и услуги.
По-рано тази година Truffle Security съобщи за 543 000 валидни идентификационни данни, изложени в публични GitHub хранилища. В отделно проучване компанията откри над 431 000 AWS тайни в кодови хранилища, Git история, набори от данни, Docker образи, регистри и CI дневници.
Изложените ключове остават активни с месеци
Чувствителните данни често попадат в публичното пространство по невнимание – разработчици включват ключове в публичен код, публикуват ги в Docker образи или софтуерни пакети, или ги оставят в конфигурационни файлове, разпространявани заедно с приложения и набори от данни.
Според Truffle Security основният проблем не е само първоначалното изтичане, а липсата на своевременна реакция. Компанията посочва, че 81% от ключовете, за чието изтичане е уведомила собствениците през предходната година, все още са били активни шест месеца по-късно.
Това означава, че потенциалният риск може да се запази дълго след откриването на инцидента. Валидните ключове могат да предоставят достъп не само до инфраструктурата на организацията, но и до нейни клиенти и приложения, които използват съответните услуги.
ИИ инструментите увеличават риска от изтичане
Truffle Security предупреждава, че разпространението на инструменти за програмиране с ИИ допълнително усложнява проблема. От януари 2025 г. компанията е открила 2655 работещи ключа в конфигурационни файлове на инструменти за разработка с ИИ. Според изследователите подобни случаи не са били регистрирани през предходната година.
ИИ може да увеличи риска и от гледна точка на нападателите. Компанията посочва като пример инцидент от юли, при който ИИ агенти използвали изложени токени на Hugging Face за кражба на данни от платформата.
Автоматизирано отнемане на компрометирани ключове
Новата програма използва TruffleHog за проверка дали откритите ключове все още са валидни. След потвърждаване на изложените данни Truffle Security координира отнемането им с организациите, които са ги издали.
Процесът може да се осъществи по два начина:
- чрез съществуващ API endpoint за отмяна на ключове, предоставен от издателя;
- чрез изпращане на потвърдените ключове към издателя посредством webhook, като отнемането трябва да бъде извършено в рамките на 14 дни.
Този подход позволява отмяна на ключове дори когато техните собственици не реагират на уведомленията.
В програмата вече участват 16 издатели, сред които Hugging Face, Notion, Vercel, Resend, RubyGems и Twilio.
Примерът на Google показва ефективността на автоматичната реакция
Truffle Security посочва практиката на Google като доказателство за потенциала на автоматичното отнемане. От 16 юни 2024 г. Google започна по подразбиране да деактивира изложени ключове за service accounts в Google Cloud.
Според данните на Truffle Security, когато компанията разчитала само на уведомяване на собствениците, 72% от изложените ключове оставали активни. След въвеждането на автоматичното им деактивиране този дял спаднал до 11%.
Пълното премахване на всички валидни изложени ключове остава трудно постижимо, тъй като клиентите могат да откажат автоматичната отмяна. Въпреки това резултатите показват значителна разлика между уведомяването и предприемането на директни действия.
Издателите на API ключове и други чувствителни идентификационни данни могат да се присъединят към Secrets Revocation Program, за да автоматизират защитата на своите клиенти.
