उन्होंने गितुब को क्रॉल किया

यूनिवर्सिटी ऑफ नॉर्थ कैरोलिना (नॉर्थ कैरोलिना स्टेट यूनिवर्सिटी, एनसीएसयू) के शोधकर्ताओं के एक समूह ने आईटी परियोजनाओं की मेजबानी के लिए सेवा और गीथहब के अपने संयुक्त विकास के लिए एक अध्ययन किया । विशेषज्ञों ने पाया है कि 100 हजार से अधिक GitHub रिपॉजिटरी में API कुंजियाँ, टोकन और क्रिप्टोग्राफ़िक कुंजियाँ होती हैं।

महत्वपूर्ण जानकारी (एन्क्रिप्शन कुंजियों, विभिन्न ऑनलाइन सेवाओं से टोकन और एपीआई कुंजियों) के अनजाने में लीक होने की समस्या लंबे समय से सबसे अधिक विषयों में से एक रही है।

ऐसे लीक के लिए धन्यवाद, व्यक्तिगत डेटा के साथ कई बड़ी घटनाएं पहले से ही हुई हैं (उबेर, डीजेआई, डीएक्ससी टेक्नोलॉजीज, आदि)।

31 अक्टूबर, 2017 और 20 अप्रैल, 2018 के बीच, NCSU के शोधकर्ताओं ने GitHub के खोज एपीआई के माध्यम से 681,784 रिपॉजिटरी में 4,394,476 फ़ाइलों को क्रॉल किया और 3,374,973 रिपॉजिटरी में 2,312,763,353 फ़ाइलों को Google BigQuery डेटाबेस में पूर्व-संकलित किया गया।

स्कैनिंग की प्रक्रिया में, विशेषज्ञों ने स्ट्रिंग्स की खोज की जो एपीआई कीज़ (स्ट्राइप, मेलकंप, यूट्यूब, इत्यादि), टोकन (अमेज़ॅन एमडब्ल्यूएस, पेपल ब्रेंट्री, अमेज़ॅन एडब्ल्यूएस, आदि) या क्रिप्टोग्राफ़िक कुंजियों (आरएसए,) के पैटर्न के तहत आते हैं। पीजीपी, आदि)।

कुल मिलाकर, विशेषज्ञों ने 575,476 टोकन, एपीआई और क्रिप्टोग्राफ़िक कुंजियों के बारे में पाया, जिनमें से 201,642 अद्वितीय थे। 93.58% खोज एक मालिक के साथ खातों से जुड़े थे।

जब मैन्युअल रूप से चयनित परिणामों के भाग की जाँच की जाती है, तो AWS क्रेडेंशियल्स पश्चिमी यूरोप के देशों में से एक में एक प्रमुख सरकारी विभाग की साइट के लिए और एक अमेरिकी कॉलेज में प्रवेश के लिए लाखों आवेदनों वाले सर्वर के लिए पाए गए थे।

अध्ययन के दौरान एक दिलचस्प प्रवृत्ति सामने आई: यदि डेटा मालिकों ने एक रिसाव का पता लगाया, तो विशेषज्ञों द्वारा मॉनिटर किए गए डेटा का 19% (जैसा कि "हटा दिया गया", नीचे देखें) 16 दिनों के भीतर (पहले दिन के दौरान उनमें से 12%), और 81% अवलोकन अवधि के दौरान हटाया नहीं गया था।

सबसे दिलचस्प बात यह है कि शोधकर्ताओं ने जो "हटाए गए" सभी डेटा वास्तव में शारीरिक रूप से हटाए नहीं गए थे, और उनके मालिकों ने बस एक नई प्रतिबद्धता बनाई थी।

पिछले साल के अंत में, हमने हैबर पर एक छोटा नोट लिखा था, जिसमें हमने गिटहब में डाउनलोड किए गए डेटा को नियंत्रित करके अनजाने लीक को रोकने के लिए डिवाइसलॉक डीएलपी समाधान का उपयोग करने का वर्णन किया था।

डेटा लीक के व्यक्तिगत मामलों के बारे में नियमित समाचार सूचना रिसाव के चैनल पर जल्दी से प्रकाशित होता है।