Всем привет!
По ссылке доступны результаты исследования, проведенного командой Nautilus (Aqua Security) в ноябре 2023. Основной задачей был поиск секретов Kubernetes (преимущественно
dockercfg и dockerconfigjson), которые можно получить из общедоступной информации. Для этого ребята воспользовались API GitHub и сосредоточились на поиске данных, в которых были указаны
user и password. Получилось найти 438 записи, из которых 203 (~ 46%) были актуальными и ими можно было воспользоваться для получения доступа к репозиториям Компаний.Больше деталей, статистики и аналитики по полученным результатам можно найти в статье (например, данные о registry, к которым можно было получить доступ с использованием найденных учетных записей, а также информация о некоторых Компаниях, которые стали «жертвой» исследователей).
Завершает материал небольшая заметка о том, почему не все утилиты по поиску секретов могут решить указанную проблему «по умолчанию», без дополнительных настроек. В качестве примеров ребята взяли 3 утилиты:
GitLeaks, Trufflehog и Trivy.Получившийся результат лишний раз показывает, что не стоит пренебрегать, казалось бы, очевидными практиками безопасности и анализировать commit и repo на предмет наличия в них секретов. Ведь причин, по которым они могут туда попасть очень много – от неосторожности пользователя до злонамеренных действий.
