Truffle Security, geçerli 1,4 milyon gizli anahtarı iptal etmek için program başlattı

Truffle Security, API anahtarı sağlayıcılarının kamuya açık biçimde ifşa olmuş ve hâlâ geçerli 1,4 milyon gizli anahtarı iptal etmesine yardımcı olacak ücretsiz Secrets Revocation Program'ı başlattı.

Şirket, 2022'den bu yana kamuya açık depolarda, paketlerde, konteyner görsellerinde, veri kümelerinde ve uygulamalarda ifşa olmuş gizli anahtarlar bulduğunu söylüyor. Bu yılın başlarında, kamuya açık GitHub depolarında geçerli 543.000 kimlik bilgisi bulduğunu bildirdi. Ayrı bir araştırmada ise kod depoları, Git geçmişleri, veri kümeleri, Docker görselleri, kayıt depoları ve CI günlüklerinde 431.000'den fazla AWS gizli anahtarı belirledi.

Truffle Security'ye göre ifşa olmuş birçok anahtar, sahipleri araştırmacıların bildirimlerine yanıt vermediği için etkin kalıyor. Şirket, geçen yıl bildirdiği anahtarların %81'inin altı ay sonra hâlâ çalıştığını söyledi. Araştırmacıların ayrıca Ocak 2025'ten bu yana yapay zekâ kodlama araçlarının yapılandırma dosyalarında çalışan 2.655 anahtar bulduğunu belirtti.

Program, sızdırılan anahtarların geçerli olup olmadığını kontrol etmek ve sağlayıcılarıyla iptali koordine etmek için TruffleHog'u kullanıyor. Sağlayıcılar bir iptal uç noktası sunabiliyor veya doğrulanmış anahtarları webhook üzerinden alabiliyor; Truffle Security anahtarları 14 gün içinde iptal edeceğini söylüyor. Hugging Face, Notion, Vercel, Resend, RubyGems ve Twilio'nun da aralarında bulunduğu 16 sağlayıcı programa katıldı.

Truffle Security, Google'ın 16 Haziran 2024'te ifşa olmuş Google Cloud hizmet hesabı anahtarlarını otomatik olarak devre dışı bırakmaya başlamasını örnek gösteriyor. Şirkete göre Google, yalnızca anahtar sahiplerine bildirim gönderirken etkin kalan ifşa edilmiş gizli anahtarların oranı %72'ydi; otomatik devre dışı bırakma sonrasında bu oran %11'e indi. Müşteriler otomatik iptali devre dışı bırakabildiğinden şirket, geçerli tüm ifşa edilmiş anahtarların ortadan kaldırılamayacağını söylüyor.