Truffle Security startar program för att återkalla 1,4 miljoner aktiva hemligheter

Truffle Security har startat Secrets Revocation Program, ett kostnadsfritt initiativ som ska hjälpa API-nyckelutgivare att återkalla 1,4 miljoner offentligt exponerade hemligheter som fortfarande är giltiga.

Företaget uppger att det sedan 2022 har hittat exponerade hemligheter i offentliga kodarkiv, paket, containeravbilder, datamängder och appar. Tidigare i år rapporterade det att det hittat 543 000 giltiga inloggningsuppgifter i offentliga GitHub-arkiv. I en separat undersökning identifierade företaget fler än 431 000 AWS-hemligheter i kodarkiv, Git-historik, datamängder, Docker-avbilder, register och CI-loggar.

Enligt Truffle Security förblir många exponerade nycklar aktiva eftersom ägarna inte svarar på forskarnas meddelanden. Företaget uppgav att 81 % av nycklarna som det rapporterade i fjol fortfarande fungerade sex månader senare. Forskarna ska också ha hittat 2 655 fungerande nycklar i konfigurationsfiler för AI-kodningsverktyg sedan januari 2025.

Programmet använder TruffleHog för att kontrollera om läckta nycklar är giltiga och samordna återkallningen med utgivarna. Utgivarna kan tillhandahålla en återkallningsadress eller ta emot verifierade nycklar via en webhook; Truffle Security uppger att nycklarna återkallas inom 14 dagar. Sexton utgivare har anslutit sig, däribland Hugging Face, Notion, Vercel, Resend, RubyGems och Twilio.

Truffle Security hänvisar till att Google började inaktivera exponerade tjänstekontonycklar för Google Cloud automatiskt den 16 juni 2024. Enligt företaget sjönk andelen exponerade hemligheter som fortfarande var aktiva från 72 % när Google enbart förlitade sig på meddelanden till ägarna till 11 % efter automatisk inaktivering. Kunder kan välja bort automatisk återkallning, så företaget uppger att alla giltiga exponerade nycklar inte kan elimineras.