Lækkede GitHub-loginoplysninger efterlader over 543.000 hemmeligheder stadig gyldige

Mere end 543.000 loginoplysninger, der var eksponeret i offentlige GitHub-repositorier, virkede stadig, da forskere kontrollerede dem i juli. Truffle Securitys resultater viser, hvordan lækkede GitHub-loginoplysninger kan efterlade adgang til tjenester åben længe efter, at udviklere har offentliggjort følsomme oplysninger.

De eksponerede hemmeligheder havde været offentligt tilgængelige i en median på 784 dage. Desuden var omkring 10 % af de fungerende loginoplysninger ældre end 6,3 år, mens de ældste daterede tilbage til 2009.

Storskala scanning finder langvarige hemmeligheder

Truffle Security undersøgte 224 millioner repositorier og mere end 58 milliarder filer. Analysen anvendte et datasæt, der var sammensat til træning af store sprogmodeller, med en slutdato for gennemgangen den 7. august 2025.

Forskerne identificerede 543.699 unikke, gyldige loginoplysninger. Disse optrådte gentagne gange på tværs af mere end 1,1 millioner filer og repositorier, herunder kopier i repository-forks.

Slutdatoen for gennemgangen er vigtig, fordi datasættet repræsenterer en historisk samling snarere end et komplet billede af GitHub på tidspunktet for offentliggørelsen.

Samtidig fandt forskerne, at tætheden af hemmeligheder steg over tid. Fungerende loginoplysninger steg fra 3,72 pr. million filer i 2015 til et højdepunkt på 11,62 i 2025.

Push Protection reducerer lækager inden for sin dækning

GitHubs Push Protection kontrollerer indgående kode for genkendelige hemmeligheder, herunder understøttede API-nøgler og adgangstokens. Når funktionen registrerer en sådan hemmelighed, kan den blokere uploaden.

Funktionen tilbagekalder dog ikke loginoplysninger, som udviklere allerede har eksponeret.

Truffle Security fandt, at 199.843 gyldige loginoplysninger først dukkede op, efter at GitHub aktiverede Push Protection som standard i februar 2024. Det svarer til cirka 36,8 % af det samlede antal.

Derudover tilhørte 51,8 % af de fungerende loginoplysninger kategorier, der lå uden for standardbeskyttelsens dækning. Disse omfattede databaseforbindelsesstrenge og Google API-nøgler.

Ikke desto mindre fandt forskerne en tydelig forbedring blandt understøttede typer af loginoplysninger. Eksponeringsraten i beskyttede kategorier faldt med 53 %, efter at standardhåndhævelsen begyndte.

Resultaterne peger derfor både på værdien af forebyggende scanning og på de huller, der stadig findes uden for dens dækning.

Tilbagekaldelsesrater varierer markant mellem tjenester

Undersøgelsen afslørede også betydelige forskelle i, hvorvidt eksponerede loginoplysninger fortsatte med at fungere.

Blandt 101.886 eksponerede npm-tokens fandt forskerne kun ét, der stadig var gyldigt. Til sammenligning fungerede 69.041 af 126.963 eksponerede Google Cloud-tjenestekontooplysninger stadig under analysen.

Disse kontrasterende resultater fremhæver, hvorfor forebyggelse af nye lækager af GitHub-loginoplysninger kun løser en del af problemet. Tidligere offentliggjorte hemmeligheder kan fortsat være brugbare, indtil deres ejere eller tjenesteudbydere ugyldiggør dem.

Fjernelse af en hemmelighed annullerer ikke dens adgang

Truffle Security anbefaler hurtigt at rotere eksponerede loginoplysninger, rydde op i repositorier og scanne deres historik for yderligere hemmeligheder. Virksomheden anbefaler også at indstille automatisk udløb for aktive loginoplysninger.

Sletning af følsomme oplysninger fra den seneste version af en fil tilbagekalder ikke selve loginoplysningen. Desuden kan tidligere commits og forks beholde kopier.

Selvom forskningen dokumenterer omfattende eksponering af fungerende hemmeligheder, måler den ikke, hvor mange angribere der har stjålet eller misbrugt dem. Gyldighed viser potentiel adgang, mens bekræftet misbrug kræver separate beviser.