Github schützt vor Datenlecks

GitHub hat ein neues Scanning-Feature eingeführt, das Entwickler vor versehentlichen Geheimlecks schützen soll. Am 4. April teilte das Microsoft-eigene Code-Repository mit, dass die GitHub Advanced Security Suite um eine neue Push-Schutzfunktion erweitert wurde, um das Durchsickern von Geheimnissen zu verhindern, die unternehmenseigene Projekte gefährden könnten.

GitHub Advanced Security ist ein lizenziertes Business-Produkt, das Code-Scanning, Schutz vor Angriffen in der Lieferkette und Dependabot-Warnungen umfasst.

Bei der neuen Funktion handelt es sich um eine optionale Prüfung, die Entwickler während ihrer Arbeitsabläufe nutzen können, bevor ein Git-Push akzeptiert wird. Ab sofort prüft der Scan nur auf „hochgradig identifizierbare Muster“ potenzieller Lecks, die auf den gemeinsamen Bemühungen von GitHub und Partnerorganisationen, einschließlich Token-Emittenten, basieren.

Es gibt insgesamt 69 Muster, auf die das Tool als potenzielle Indikatoren für geheime Lecks prüft. Darüber hinaus werden über 100 verschiedene Token-Typen überprüft. Dazu gehören die von Alibaba Cloud, Amazon, AWS, Azure, npm, Slack und Stripe ausgegebenen Token.

Laut GitHub wurden bisher über 700.000 Geheimnisse in Tausenden von privaten Repositories entdeckt. Wenn der Push-Schutz aktiviert ist, wird ein Scan auf hochgradig vertrauenswürdige Leckmuster geprüft. Wenn ein Muster auftaucht, wird der Push blockiert. Nach Angaben des Unternehmens gab es bei den Tests nur eine geringe Falsch-positiv-Rate.

„Wenn ein Geheimnis identifiziert wird, können Entwickler die Geheimnisse überprüfen und aus ihrem Code entfernen, bevor sie erneut pushen“, erklärt GitHub. „In seltenen Fällen, in denen eine sofortige Behebung keinen Sinn macht, können die Entwickler weiterarbeiten, indem sie das Geheimnis als falsches Positiv, Testfall oder echte Instanz auflösen, um es später zu beheben.“

Offene Sicherheitswarnungen werden automatisch generiert, wenn Instanzen als zu behebende Probleme nach einem Push ausgewählt werden. Die neue Funktion kann in der Benutzeroberfläche der Suite oder über die API aktiviert werden.

„Indem wir nach hochgradig identifizierbaren Geheimnissen scannen, bevor sie übertragen werden, können wir gemeinsam die Sicherheit proaktiv statt reaktiv gestalten und verhindern, dass Geheimnisse nach außen dringen“, kommentiert GitHub.