建站
咨詢
售后
建站咨詢
新聞中心
GitHub 最近將其機(jī)密掃描功能擴(kuò)展到包含 PyPI 和 RubyGems 注冊(cè)表機(jī)密的存儲(chǔ)庫(kù)，以防止 Ruby 和 Python 開(kāi)發(fā)人員無(wú)意中將機(jī)密和憑據(jù)提交到他們的 GitHub 存儲(chǔ)庫(kù)。
機(jī)密(secret)，也被稱(chēng)為令牌，是用于驗(yàn)證的唯一字符串。在編寫(xiě)軟件時(shí)，開(kāi)發(fā)人員通常會(huì)利用一些第三方軟件來(lái)避免 “重復(fù)造輪子”。有時(shí)，第三方軟件可以導(dǎo)入到代碼中，但必須與外部服務(wù)進(jìn)行溝通才能使用。此時(shí)就需要機(jī)密來(lái)進(jìn)行驗(yàn)證，類(lèi)似于使用用戶名和密碼來(lái)登錄一個(gè)賬戶。例如，在 GitHub 上，如果用戶想使用 API 對(duì)其賬戶或存儲(chǔ)庫(kù)進(jìn)行修改，就需要生成一個(gè)個(gè)人訪問(wèn)令牌。
而 GitHub 機(jī)密掃描是一項(xiàng)掃描倉(cāng)庫(kù)推送的服務(wù)，搜索可能暴露的機(jī)密，以保證用戶的代碼和第三方賬戶的安全。公共倉(cāng)庫(kù)會(huì)自動(dòng)進(jìn)行掃描，私有倉(cāng)庫(kù)需要手動(dòng)啟用這項(xiàng)服務(wù)。目前，GitHub 已經(jīng)與 40 多家云計(jì)算供應(yīng)商合作，掃描 70 多種不同的機(jī)密類(lèi)型。當(dāng)其發(fā)現(xiàn)一個(gè)機(jī)密時(shí)，會(huì)把它直接發(fā)送給第三方云供應(yīng)商進(jìn)行撤銷(xiāo)或者通知倉(cāng)庫(kù)所屬用戶。
根據(jù)官方公告，GitHub 機(jī)密掃描最近增加了對(duì) RubyGems 和 PyPI 機(jī)密的支持，并且也掃描 npm、NuGet 和 Clojars 的機(jī)密。以 RubyGems 為例，如果用戶將 RubyGems 的 API 密鑰提交到一個(gè)公共倉(cāng)庫(kù)，GitHub 的機(jī)密掃描在自動(dòng)掃描該提交時(shí)會(huì)發(fā)現(xiàn)該機(jī)密并通知 RubyGems 泄漏。然后 RubyGems 會(huì)撤銷(xiāo)該機(jī)密，并向用戶發(fā)送一封電子郵件，通知其該機(jī)密已被泄露。
GitHub 表示，其接下來(lái)將繼續(xù)增加對(duì)新的機(jī)密類(lèi)型的支持(針對(duì)任何云提供商，而不僅僅是包管理服務(wù))，比如最近新增的非軟件包管理服務(wù) Adobe 和 OpenAI 。關(guān)于 GitHub 機(jī)密掃描的詳細(xì)內(nèi)容，可以查看官方文檔。
本文轉(zhuǎn)自O(shè)SCHINA
本文標(biāo)題：GitHub 機(jī)密掃描現(xiàn)在支持 PyPI 和 RubyGems
文章名稱(chēng)：GitHub機(jī)密掃描現(xiàn)在支持PyPI和RubyGems
URL地址：http://www.5511xx.com/article/cdehgij.html
