A Truffle Security 1,4 millió kiszivárgott hozzáférési adat visszavonását kezdeményezi
A Truffle Security november 4-én bejelentette a Secrets Revocation Programot, amelyben a hozzáférési adatokat kibocsátó szervezetek ingyenesen kapcsolhatják le azokat az API-kulcsokat, tokeneket és más hitelesítő adatokat, amelyeket a cég nyilvános forrásokban talál. A program 1,4 millió ellenőrzött és még működő hozzáférési adattal indul, és bármely kibocsátó csatlakozhat hozzá. A Truffle Security GitHubon, GitLaben, Docker Hubon, az npm-en, a PyPI-on, a Hugging Face-en, Android-alkalmazásokban és Firefox-kiegészítőkben keres, idén eddig több mint 20 petabájtnyi adatot vizsgált át.
A kezdeményezés hátterében az áll, hogy az értesítés önmagában kevéssé hatékony. Egy 2025-ös vizsgálatban 21 981, GitLaben és Bitbucketen talált, működő kulcsról értesítették a tulajdonosokat és kibocsátókat, de hat hónappal később 81 százalékuk még érvényes volt. A GitHub nyilvános adatállományának egy elemzése 543 699 olyan hitelesítési adatot azonosított, amelyek 2026 júliusában még bejelentkezést tettek lehetővé; felük több mint két éve volt nyilvános.
A probléma az AWS-kulcsoknál is súlyos: augusztusban 64 024 kiszivárgott kulcs 88 százaléka továbbra is aktív volt, a működő kulcsok medián életkora pedig körülbelül öt évnek bizonyult. Közülük 768 teljes adminisztrátori hozzáférést adott vállalati AWS-fiókokhoz, 929-et pedig korábban már kompromittálódottként jelöltek meg. A program résztvevői webhookon kaphatják meg az ellenőrzött kulcsokat, vagy saját visszavonási végpontot adhatnak meg, amelyen keresztül a Truffle Security automatikusan letiltja őket. A cég szerint a mesterséges intelligenciával gyorsuló támadások miatt a régi, nyilvánosan elérhető titkok kockázata egyre nagyobb.
Folytasd az appban — szavazz és szólj hozzá ➔