Truffle Security برنامه ای را برای لغو 1.4 میلیون راز زنده راه اندازی کرد

Truffle Security برنامه ابطال Secrets را راه‌اندازی کرده است، یک ابتکار رایگان که به صادرکنندگان کلیدی API کمک می‌کند 1.4 میلیون اسرار افشا شده عمومی را که معتبر هستند، لغو کنند.

از سال 2022، این شرکت اسرار جاسازی شده در مخازن عمومی، بسته ها، تصاویر کانتینر، مجموعه داده ها و برنامه ها را کشف کرده است.

در اوایل سال جاری، Truffle Security گزارش داد که 543000 اعتبار معتبر را در مخازن عمومی GitHub کشف کرده است.

در یک تحقیق جداگانه، این شرکت بیش از 431000 راز AWS را در مخازن کد، تاریخچه های Git، مجموعه داده ها، تصاویر Docker، رجیستری ها و گزارش های CI شناسایی کرد.

این اسرار معمولا به اشتباه در طول فرآیند توسعه، با تسلیم اعتبار به یک مخزن عمومی، از جمله آنها در تصاویر یا بسته‌های منتشر شده Docker، یا گذاشتن آنها در فایل‌های پیکربندی آپلود شده با یک برنامه یا مجموعه داده، افشا می‌شوند.

Truffle Security می‌گوید که مشکل این است که صاحبان این اسرار به اعلان‌های محققان در مورد داده‌های فاش شده پاسخ نمی‌دهند.

این شرکت توضیح داد: «گفتن به برنامه‌نویس‌ها که کلیدهایشان لو رفته است، باعث خاموش شدن آن‌ها نمی‌شود: 81 درصد از کلیدهایی که سال گذشته گزارش کردیم، هنوز شش ماه بعد کار می‌کردند.

در نتیجه، اسرار افشا شده خطرات امنیتی غیرضروری ایجاد می کند که می تواند فراتر از شرکت های آسیب دیده به مشتریان و کاربران برنامه های پایین دستی آنها گسترش یابد.

محققان خاطرنشان می کنند که ظهور ابزارهای کدگذاری هوش مصنوعی تنها وضعیت را بدتر کرده است و افشای اسرار را حتی بیشتر می کند.

محققان گفتند: «از ژانویه 2025، ما 2655 کلید کار را در فایل‌های پیکربندی ابزارهای کدنویسی هوش مصنوعی پیدا کرده‌ایم،» و خاطرنشان کردند که این مشکل در سال قبل وجود نداشت.

هوش مصنوعی همچنین تاثیر نوردهی را در سمت تهاجمی افزایش می‌دهد، همانطور که در حادثه ژوئیه OpenAI نشان داده شد، جایی که عوامل هوش مصنوعی از نشانه‌های Hugging Face برای سرقت داده‌ها از پلتفرم استفاده کردند.

برنامه جدید Truffle که از ابزار TruffleHog برای بررسی اعتبار کلیدهای لو رفته استفاده می کند، با هدف هماهنگ کردن ابطال اسرار افشا شده با نهادهایی که آنها را صادر کرده اند، است.

Truffle می‌گوید که می‌تواند از یک نقطه پایانی ابطال ارائه شده توسط آن نهادها استفاده کند یا کلیدهای تأیید شده را از طریق یک وب‌هوک به آن‌ها ارائه دهد و آنها را ظرف 14 روز لغو کند.

به این ترتیب، حتی زمانی که مالکان پاسخگو نیستند، کلیدها می توانند باطل شوند.

در حال حاضر 16 صادرکننده از جمله Hugging Face، Notion، Vercel، Resend، RubyGems و Twilio به این برنامه ملحق شده اند.

تروفل می‌گوید رویکرد ابطال یک‌طرفه می‌تواند بسیار مؤثر باشد، همانطور که گوگل نشان داد زمانی که شروع به غیرفعال کردن کلیدهای حساب سرویس Google Cloud به طور پیش‌فرض در 16 ژوئن 2024 کرد.

زمانی که گوگل تنها به اطلاع رسانی به صاحبان کلیدی متکی بود، Truffle Security دریافت که بسیاری از مشتریان پاسخی ندادند و 72 درصد از اسرار افشا شده فعال باقی ماندند. با غیرفعال کردن خودکار کلیدهای لو رفته، این رقم به 11 درصد کاهش یافت.

اگرچه حذف همه کلیدهای در معرض نمایش معتبر غیرممکن است زیرا مشتریان می توانند از لغو خودکار انصراف دهند، اما این اقدام مؤثر بود.

شرکت‌هایی که کلیدهای API را صادر می‌کنند می‌توانند برای محافظت خودکار از مشتریان خود به برنامه Truffle Security's Secrets Revocation بپیوندند.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

بیش از 543000 اعتبار معتبر در مخازن عمومی GitHub افشا شده است

DreamHost تأیید می کند که اطلاعات ورود به سیستم FTP و جلسات ایمیل وب در معرض نقض داده است

هک مدیر رمز عبور mSecure هشدارهای بازنشانی رمز عبور را می دهد

نقض امنیتی Northflank منجر به سوء استفاده از کلیدهای API هوش مصنوعی مشتریان می شود