Truffle Security запустила програму відкликання витеклих ключів
Ключ доступу, який розробник випадково залишив у відкритому коді, часто працює ще довго. Компанія Truffle Security вирішила не чекати, поки власники ключів відреагують на листи, і запустила програму, що вимикає такі секрети примусово.
Як працює відкликання
Програма називається Secrets Revocation Program і діє безкоштовно. Вона має допомогти компаніям, які видають ключі API, відкликати 1,4 млн секретів, що лишаються чинними, хоча вже лежать у публічному доступі.
Truffle перевіряє, чи ключ ще діє, за допомогою інструмента TruffleHog. Далі є два шляхи. Видавець може надати точку відкликання, і ключ вимкнуть через неї. Або Truffle передасть підтверджені ключі через вебгук і відкличе їх протягом 14 днів. Так ключ стає недійсним, навіть якщо власник мовчить.
До програми вже долучилися шістнадцять видавців, серед них Hugging Face, Notion, Vercel, Resend, RubyGems і Twilio.
Чому листів замало
Секрети зазвичай витікають помилково. Їх комітять у публічний репозиторій, кладуть в опубліковані образи Docker чи пакети або залишають у конфігураційних файлах, які завантажили разом із застосунком чи набором даних.
Цього року Truffle повідомляла про 543 000 чинних облікових даних у публічних репозиторіях GitHub. Окреме дослідження знайшло понад 431 000 секретів AWS у репозиторіях, історії Git, наборах даних, образах Docker, реєстрах і журналах CI.
Головна проблема, за словами компанії, у тому, що власники не реагують на сповіщення. Truffle пише: «81% ключів, про які ми повідомили торік, працювали й через пів року».
ШІ-інструменти й приклад Google
Дослідники кажуть, що ШІ-інструменти для кодування ситуацію погіршили. З січня 2025 року вони знайшли 2655 робочих ключів у конфігураційних файлах таких інструментів. Рік до того, за їхніми словами, такої проблеми не існувало.
ШІ підсилює й наслідки витоку. У липневому випадку OpenAI агенти ШІ скористалися відкритими токенами Hugging Face, щоб викрасти дані з платформи.
Truffle вважає, що одностороннє відкликання працює. Google із 16 червня 2024 року почала за замовчуванням вимикати відкриті ключі службових облікових записів Google Cloud. Коли компанія лише сповіщала власників, Truffle бачила 72% активних серед відкритих секретів. Після автоматичного вимкнення частка впала до 11%.
Повністю прибрати всі чинні ключі неможливо: клієнти можуть відмовитися від автоматичного відкликання. Але захід, як показав приклад Google, дає помітний ефект.
Джерело: BleepingComputer