به گزارش BleepingComputer، شرکت Truffle Security طرح رایگانی را برای صادرکنندگان کلیدهای API راه‌اندازی کرده است تا ۱.۴ میلیون راز عمومی معتبر و افشاشده را باطل کنند.
شرکت Truffle Security از سال ۲۰۲۲ میلادی تا کنون موفق به کشف کلیدها و رازهای پنهانی شده است که به‌اشتباه در مخازن عمومی، پکیج‌ها، ایمیج‌های کانتینر، دیتاست‌ها و برنامه‌های مختلف قرار گرفته‌اند. بررسی‌های این شرکت نشان می‌دهد که بسیاری از توسعه‌دهندگان به هشدارهای امنیتی درباره افشای داده‌ها پاسخ نمی‌دهند و ۸۱ درصد از کلیدهای گزارش‌شده سال گذشته، پس از شش ماه همچنان فعال بوده‌اند.
ابزار TruffleHog برای بررسی اعتبار کلیدهای لو رفته استفاده می‌شود و این برنامه جدید تلاش می‌کند با همکاری صادرکنندگان کلید، روند ابطال آن‌ها را مدیریت کند. این طرح امکان استفاده از نقطه پایانی ابطال یا ارسال کلیدهای تأییدشده از طریق وب‌هوک را فراهم می‌کند تا کلیدها ظرف مدت ۱۴ روز غیرفعال شوند.
تا کنون ۱۶ شرکت صادرکننده کلید از جمله Hugging Face، Notion، Vercel، Resend، RubyGems و Twilio به این برنامه پیوسته‌اند. این شرکت اشاره می‌کند که رویکرد ابطال خودکار پیش‌تر توسط گوگل نیز برای توکن‌های سرویس اکانت گوگل کلود امتحان شده و توانسته میزان کلیدهای فعال افشاشده را به طور چشمگیری کاهش دهد.
نکات کلیدی این خبر
- راه‌اندازی برنامه رایگان Truffle Security برای ابطال ۱.۴ میلیون کلید API معتبر و افشاشده
- بررسی‌های امنیتی نشان می‌دهد ۸۱ درصد کلیدهای لو رفته شش ماه پس از هشدار همچنان فعال بوده‌اند
- شانزده شرکت از جمله Hugging Face و Vercel به برنامه ابطال خودکار کلیدها پیوسته‌اند
این خبر برای شما چه معنایی دارد؟
افشای تصادفی کلیدهای دسترسی و توکن‌های API در مخازن عمومی یا فایل‌های تنظیمات می‌تواند خطرات امنیتی جدی برای زیرساخت‌ها و کاربران ایجاد کند. مدیران سیستم و توسعه‌دهندگان باید به‌طور مداوم مخازن کد و فایل‌های پیکربندی خود را بررسی کرده و از ابزارهای نظارت بر امنیت کلیدها استفاده کنند.
منبع خبر
BleepingComputer
— Truffle Security launches program to revoke 1.4 million live secrets
انتشار در منبع:
این خبر را تحریریه‌ی مهران هاست بر پایه‌ی گزارش منبع بالا به فارسی نوشته است؛ جزئیات کامل و به‌روزرسانی‌های بعدی را در منبع اصلی ببینید.
