Mer enn 543 000 påloggingsopplysninger som var eksponert i offentlige GitHub-repositorier, fungerte fortsatt da forskere kontrollerte dem i juli. Funnene fra Truffle Security viser hvordan lekkede GitHub-påloggingsopplysninger kan gi tilgang til tjenester lenge etter at utviklere har publisert sensitiv informasjon.
De eksponerte hemmelighetene hadde vært offentlig tilgjengelige i en median på 784 dager. Dessuten var omtrent 10 % av de fungerende påloggingsopplysningene eldre enn 6,3 år, mens de eldste stammet fra 2009.
Storskala skanning finner langvarige hemmeligheter
Truffle Security undersøkte 224 millioner repositorier og mer enn 58 milliarder filer. Analysen brukte et datasett som var satt sammen for trening av store språkmodeller, med en sluttdato for gjennomgangen på 7. august 2025.
Forskerne identifiserte 543 699 unike og gyldige påloggingsopplysninger. Disse dukket opp gjentatte ganger i mer enn 1,1 millioner filer og repositorier, inkludert kopier i repository-forks.
Sluttdatoen for gjennomgangen er viktig fordi datasettet representerer en historisk samling, snarere enn et fullstendig bilde av GitHub på publiseringstidspunktet.
Samtidig fant forskerne at tettheten av hemmeligheter økte over tid. Fungerende påloggingsopplysninger økte fra 3,72 per million filer i 2015 til en topp på 11,62 i 2025.
Push Protection reduserer lekkasjer innenfor sitt dekningsområde
GitHubs Push Protection sjekker innkommende kode for gjenkjennelige hemmeligheter, inkludert støttede API-nøkler og tilgangstokener. Når funksjonen oppdager en slik hemmelighet, kan den blokkere opplastingen.
Funksjonen tilbakekaller imidlertid ikke påloggingsopplysninger som utviklere allerede har eksponert.
Truffle Security fant at 199 843 gyldige påloggingsopplysninger først dukket opp etter at GitHub aktiverte Push Protection som standard i februar 2024. Det representerer omtrent 36,8 % av totalen.
I tillegg tilhørte 51,8 % av de fungerende påloggingsopplysningene kategorier som ikke var dekket av standardbeskyttelsen. Disse inkluderte tilkoblingsstrenger til databaser og Google API-nøkler.
Likevel fant forskerne en tydelig forbedring blant støttede typer påloggingsopplysninger. Eksponeringsraten i beskyttede kategorier falt med 53 % etter at standardhåndhevingen begynte.
Funnene peker derfor både på verdien av forebyggende skanning og på hullene som fortsatt finnes utenfor dekningsområdet.
Tilbakekallingsraten varierer kraftig mellom tjenester
Studien avdekket også betydelige forskjeller i hvorvidt eksponerte påloggingsopplysninger fortsatte å fungere.
Blant 101 886 eksponerte npm-tokener fant forskerne bare ett som fortsatt var gyldig. Til sammenligning fungerte 69 041 av 126 963 eksponerte tjenestekontolegitimasjoner for Google Cloud fortsatt under analysen.
Disse kontrasterende resultatene viser hvorfor forebygging av nye lekkasjer av GitHub-påloggingsopplysninger bare løser en del av problemet. Tidligere publiserte hemmeligheter kan fortsatt være brukbare frem til eierne eller tjenesteleverandørene ugyldiggjør dem.
Å fjerne en hemmelighet opphever ikke tilgangen
Truffle Security anbefaler å rotere eksponerte påloggingsopplysninger raskt, rydde opp i repositorier og skanne historikken deres etter flere hemmeligheter. Selskapet anbefaler også å angi automatisk utløp for aktive påloggingsopplysninger.
Å slette sensitiv informasjon fra den nyeste versjonen av en fil tilbakekaller ikke selve påloggingsopplysningen. I tillegg kan tidligere commits og forks beholde kopier.
Selv om forskningen dokumenterer omfattende eksponering av fungerende hemmeligheter, måler den ikke hvor mange angripere som har stjålet eller misbrukt dem. Gyldighet viser potensiell tilgang, mens bekreftet misbruk krever separate bevis.
0 responses to “Lekkede GitHub-påloggingsopplysninger etterlater over 543 000 hemmeligheter fortsatt gyldige”