GitHub anunció recientemente una serie de actualizaciones a su plataforma de Seguridad Avanzada, tras detectar más de 39 millones de secretos filtrados durante el año 2024. Estos secretos incluyen claves API y credenciales que pueden exponer a usuarios y organizaciones a riesgos significativos de seguridad.
Detalles sobre la detección de secretos
La empresa de desarrollo informó que los 39 millones de secretos fueron identificados mediante su servicio de escaneo de secretos, una función de seguridad diseñada para detectar claves API, contraseñas, tokens y otros datos sensibles en repositorios.
Explicación sobre la filtración
GitHub destacó que las filtraciones de secretos siguen siendo una de las causas más comunes de incidentes de seguridad. La empresa señaló que, a medida que los desarrolladores trabajan con mayor velocidad, también se filtran secretos a un ritmo acelerado.
Medidas de protección existentes
A pesar de las medidas de protección específicas implementadas por GitHub, como la «Protección Push», que fue activada por defecto en todos los repositorios públicos desde febrero de 2024, se siguen registrando filtraciones.
Principales causas de las filtraciones
Según GitHub, las principales razones por las que continúan ocurriendo filtraciones son la priorización de la comodidad por parte de los desarrolladores al manejar secretos durante las confirmaciones y la exposición accidental del repositorio a través del historial de Git.
Mejoras en la plataforma de Seguridad Avanzada
GitHub anunció varias medidas y mejoras para mitigar las filtraciones de información confidencial. Entre ellas se incluyen:
- Protección de Secretos y Seguridad de Código independientes: ahora disponibles como productos independientes, estas herramientas ya no requieren una licencia completa de GitHub Advanced Security.
- Evaluación gratuita de riesgos de secretos para toda la organización: un escaneo puntual que revisa todos los repositorios (públicos, privados, internos y archivados) en busca de secretos expuestos, gratuito para todas las organizaciones de GitHub.
- Protección contra envíos con controles de omisión delegados: la protección contra envíos mejorada escanea los secretos antes de enviar el código y permite a las organizaciones definir quién puede omitir la protección, lo que añade control a nivel de políticas.
- Detección de secretos con tecnología Copilot: GitHub utiliza IA a través de Copilot para detectar secretos no estructurados, como contraseñas. Además, colabora con proveedores de la nube para crear detectores más precisos y responder con mayor rapidez a las filtraciones.
Acciones recomendadas para los usuarios
GitHub también proporcionó una lista de acciones recomendadas para protegerse contra las filtraciones de secretos:
- Habilitar la protección Push a nivel de repositorio, organización o empresa.
- Reducir el riesgo eliminando por completo los secretos codificados del código fuente y utilizando variables de entorno, gestores de secretos o bóvedas para almacenarlos.
- Utilizar herramientas que se integren con pipelines de CI/CD y plataformas en la nube para gestionar los secretos programáticamente.
- Revisar la guía de «Mejores prácticas» sobre gestión de secretos.