Truffle Security chce unieważnić 1,4 mln wyciekłych kluczy API, które nadal działają

Truffle Security uruchomiła darmowy Secrets Revocation Program. Jego celem jest unieważnienie 1,4 mln publicznie dostępnych kluczy API i innych sekretów, które wciąż są ważne. Firma uzgadnia unieważnienie bezpośrednio z wydawcami kluczy, bo powiadamianie właścicieli nie przynosi skutku: 81% kluczy zgłoszonych w zeszłym roku działało jeszcze pół roku później. Ważność kluczy sprawdza narzędzie TruffleHog.

Kogo dotyczy

Firm i programistów, których klucze trafiły do publicznych repozytoriów, paczek, obrazów kontenerów, zbiorów danych lub aplikacji. Według materiału zwykle dzieje się to przez pomyłkę: dane dostępowe trafiają w commicie do publicznego repozytorium, do opublikowanego obrazu Docker albo do pliku konfiguracyjnego wysłanego razem z aplikacją. Wcześniej w tym roku Truffle Security znalazła 543 tys. ważnych danych dostępowych w publicznych repozytoriach GitHub, a w osobnym badaniu ponad 431 tys. sekretów AWS. Od stycznia 2025 roku wykryła też 2655 działających kluczy w plikach konfiguracyjnych narzędzi AI do programowania.