Los secretos codificados aumentan un 67% a medida que la proliferación de secretos amenaza la cadena de suministro de software

La cantidad de secretos codificados descubiertos ha aumentado en un 67 % durante el último año en comparación con 2021, con 10 millones de nuevos secretos descubiertos en confirmaciones públicas de GitHub en 2022. Esto es de GitGuardian Informe sobre el estado de la expansión de los secretos en 2023. Resulta que los secretos codificados y la proliferación acelerada de secretos (almacenamiento de secretos en muchos lugares diferentes) amenazan la seguridad de las cadenas de suministro de software.

Los secretos codificados plantean importantes riesgos de seguridad porque a menudo se almacenan en texto sin formato, lo que facilita que los atacantes los extraigan del código fuente. También pueden quedar expuestos sin darse cuenta o expuestos a través de otras vulnerabilidades de seguridad, como la inyección de código o la fuga de datos.

2022 es un año muy «fugaz» para los misterios

GitGuardian escaneó más de mil millones de confirmaciones de GitHub del año pasado y reveló que 2022 fue particularmente fugaz en lo que respecta a los secretos. De los 13,3 millones de autores distintos que cargaron código en GitHub en 2022, 1,35 millones revelaron accidentalmente un secreto, mientras que 5,5 de cada 1000 confirmaciones revelaron al menos un secreto, un aumento del 50 % desde 2021, dice el informe. GitGuardian ha categorizado dos tipos de especificaciones secretas: específicas y genéricas. Ciertos detectores coincidieron con secretos detectables, como las claves de acceso de AWS o las credenciales de la base de datos de MongoDB, y ciertos secretos representaron el 33 % de los secretos descubiertos durante la investigación. Los secretos genéricos representaron el 67% de los secretos descubiertos, con detectores genéricos que coincidían con secretos como el correo electrónico de la empresa y las contraseñas que estaban codificadas en un archivo.

Los principales secretos específicos detectados en 2022 fueron google_api_key, private_key_rsa, private_key_generic, googlecloud_keys y postgresql_credentials. Las contraseñas, los secretos de alta entropía y los nombres de usuario/contraseñas fueron los principales secretos genéricos encontrados, según GitGuardian. El informe citó ejemplos recientes de secretos explotados en ataques. Encima Y CírculoCI; repositorios de código fuente robados que afectan cosas como Ultimo pasemicrosoft, octavay Samsung; y secretos revelados públicamente que afectan a Android, Toyota y otros infosys.

Los secretos codificados y la proliferación de secretos amenazan la cadena de suministro de software

Los secretos codificados y la proliferación de secretos representan una amenaza significativa para la seguridad de las cadenas de suministro de software, según el informe. «Los secretos pueden quedar expuestos en más de un sentido, y el código fuente es un activo que puede perderse rápidamente ante los subcontratistas y, por supuesto, el robo del código fuente». agregado. «Las discusiones sobre el robo y la venta de claves de API son un fenómeno relativamente nuevo en la web oscura en los últimos años, y esperamos que continúe creciendo». También se discutieron las credenciales y los pivotes de los repositorios abiertos, continúa el informe.

“El principal problema es que un secreto codificado no solo es difícil de cambiar, lo cual es una característica muy deseable tanto por motivos de seguridad como por otros motivos, como actualizaciones de infraestructura, sino que también puede estar expuesto a cualquier persona con acceso al código fuente. ”, dijo a CSO Fernando Montenegro, analista principal sénior de Omdia. Este es un problema importante que podría llevar a un atacante a usar la información para suplantar u obtener detalles más confidenciales sobre el entorno, agrega. “Las consecuencias pueden variar desde resultados de auditoría negativos hasta el compromiso total de la infraestructura y la filtración masiva de datos. Actualmente, es común que estos secretos lleguen a los sistemas de control de código fuente como Git, que luego potencialmente difunden estos secretos mucho más, tal vez incluso al público en general”.