Truffle Security запустила программу отзыва 1,4 млн утёкших секретов
Truffle Security запустила бесплатную программу Secrets Revocation Program, которая помогает эмитентам API-ключей отзывать 1,4 млн публично открытых секретов, остающихся действующими. К ней уже присоединились 16 эмитентов, включая Hugging Face, Notion, Vercel, Resend, RubyGems и Twilio.
Главное в цифрах
- Секретов к отзыву в программе: 1,4 млн
- Действующих учётных данных в публичных репозиториях GitHub: 543 000
- Секретов AWS в отдельном исследовании: более 431 000
- Ключей, которые через полгода всё ещё работали: 81%
- Доля активных утёкших ключей у Google после автоматического отключения: снизилась с 72% до 11%
Компания с 2022 года находит действующие секреты в публичных репозиториях, пакетах, Docker-образах, датасетах и приложениях. Такие данные обычно попадают в открытый доступ по ошибке разработчиков: учётные данные коммитят в публичный репозиторий, включают в опубликованные Docker-образы или пакеты, оставляют в конфигурационных файлах, которые загружаются вместе с приложением или датасетом.
Ранее Truffle Security сообщала о 543 000 действующих учётных данных в публичных репозиториях GitHub, а в отдельном исследовании выявила более 431 000 секретов AWS.
Почему владельцы не реагируют
По словам компании, проблема в том, что владельцы секретов не отвечают на уведомления исследователей. «Простое сообщение разработчикам о том, что их ключи утекли, не приводит к их отключению: 81% ключей, о которых мы сообщили год назад, через полгода всё ещё работали», пишут в компании.
Исследователи также отмечают, что инструменты ИИ для написания кода только усугубили ситуацию. С января 2025 года они нашли 2 655 рабочих ключей в конфигурационных файлах таких инструментов.
Как работает программа
Программа использует инструмент TruffleHog для проверки действительности ключей. Truffle Security либо подключается к эндпоинту отзыва, который предоставляет эмитент, либо передаёт проверенные ключи через webhook, и тогда отзыв должен произойти в течение 14 дней. Так ключи можно отключить даже тогда, когда владельцы не отвечают.
В качестве примера эффективности компания приводит Google. С 16 июня 2024 года Google начал по умолчанию отключать утёкшие ключи сервисных аккаунтов Google Cloud. Когда компания полагалась только на уведомления владельцев, 72% утёкших секретов оставались активными. После автоматического отключения эта доля снизилась до 11%. Полностью устранить проблему нельзя, так как клиенты могут отказаться от автоматического отзыва, но, по данным Truffle Security, мера оказалась эффективной.
