Skasowanie commita z ujawnionym kluczem nie unieważnia go, mówi prezes GitGuardian

Usunięcie commita z ujawnionym kluczem albo zmiana repozytorium na prywatne nie unieważnia sekretu. Tak mówi Eric Fourrier, prezes GitGuardian, w rozmowie z Help Net Security. Błąd przestaje być widoczny, ale ryzyko zostaje. Według Fourriera strach przed obwinianiem skłania pracowników do zacierania śladów, przez co zespół bezpieczeństwa nie wie o incydencie. Dodaje, że narzędzia i agenci AI tworzą nowe drogi, którymi sekrety trafiają do publicznego wglądu.

Kogo dotyczy

Firm, w których pracownicy trzymają kod i klucze dostępowe w repozytoriach, a także zarządów i osób odpowiedzialnych za bezpieczeństwo. Materiał przywołuje NIS2 jako jeden z wymogów, przez które kierownictwo może odpowiadać za sposób zarządzania ryzykiem cybernetycznym.

Co zrobić

Po wycieku trzeba odwołać sekret, zbadać, gdzie i jak długo był widoczny, i wyciągnąć z tego wnioski. Osoby, która zgłosiła własny błąd, nie należy karać, żeby kolejne pomyłki trafiały do zespołu szybko, a nie znikały z widoku.