GitHub ha annunciato l’attivazione della protezione push per tutti i repository pubblici, una mossa strategica volta a prevenire la divulgazione accidentale di segreti come token di accesso e chiavi API durante l’invio di nuovo codice. Questa funzionalità, introdotta inizialmente in beta quasi due anni fa, è diventata disponibile per tutti i repository pubblici a maggio 2023 e ora viene attivata per impostazione predefinita per aumentare la sicurezza.
Funzionamento della Protezione Push
La protezione push esegue la scansione dei segreti prima che le operazioni di ‘git push’ siano accettate, bloccando i commit in cui viene rilevato un segreto. GitHub afferma che la funzionalità di scansione dei segreti impedisce automaticamente la fuga di segreti individuando oltre 200 tipi di token e schemi da più di 180 fornitori di servizi.
Gli utenti hanno la possibilità di rimuovere i segreti dai loro commit o, se ritengono che il segreto sia sicuro, di bypassare il blocco. Nonostante la protezione push sia ora attiva per impostazione predefinita, gli utenti possono scegliere di disattivarla completamente nelle impostazioni di sicurezza, anche se ciò non è consigliato.
GitHub Advanced Security per aziende
Per le organizzazioni che adottano il piano GitHub Enterprise, è disponibile GitHub Advanced Security, che offre una protezione avanzata delle informazioni sensibili all’interno dei repository privati. Questo piano include anche altre funzionalità di scansione dei segreti, oltre a scansione del codice, suggerimenti basati sull’IA e capacità di sicurezza applicativa statica (SAST).
Importanza della Protezione Push
La fuga accidentale di chiavi API, token e altri segreti rappresenta un rischio significativo di violazioni della sicurezza, danni alla reputazione e responsabilità legale. GitHub ha rilevato oltre 1 milione di segreti divulgati nei repository pubblici solo nelle prime otto settimane del 2024, evidenziando la criticità di questa problematica.
L’introduzione della protezione push per tutti gli utenti pubblici segna un passo importante nella strategia di sicurezza di GitHub, mirando a ridurre il rischio di esposizione accidentale di dati sensibili e a rafforzare la protezione delle informazioni all’interno della piattaforma.