GitHubなどのコード管理プラットフォームに「シークレットスキャンツールでは検知できないシークレット漏えい」のリスク Aqua Security Softwareが解説：「リポジトリの履歴」が見過ごされている可能性を指摘

Aqua Security Softwareは公式ブログで、「GitHub」「GitLab」「Bitbucket」「Azure Repos」などのソースコード管理プラットフォームに、従来のシークレットスキャンツールでは見落とされる可能性のあるシークレット漏えいのリスクがあるとして注意を喚起した。

[＠IT]

　Aqua Security Softwareは2024年6月23日（米国時間）に公式ブログで、「GitHub」「GitLab」「Bitbucket」「Azure Repos」といったソースコード管理（SCM）プラットフォームに、従来のシークレット（機密情報）スキャンツールでは見落とされる可能性のあるシークレット漏えいのリスクがあるとして注意を喚起した。

　Aqua Security Softwareは、GitHubの上位100組織にある5万2268個のリポジトリを対象に、Gitリポジトリ内のシークレットをチェックする「Gitleaks」と、同社が明らかにした手法に基づいた調査を比較した結果、Gitleaksのようなシークレットスキャンツールでは漏えいしているシークレットの約18％を見逃す可能性があると明らかにしている。

　この調査の過程では、Mozillaの従業員が利用するファジングツールのAPIトークンや、テレメトリーサービス用のAPIトークン、あるFortune 500企業が使用している「CIsco Meraki」のAPIトークン、ヘルスケア企業が利用する「Microsoft Azure」の認証用シークレットが含まれていたことも判明したという。

　Aqua Security Softwareは「一度でもコードにシークレットを記述すると、一見削除したように見えてもそのシークレットが永久に公開されてしまう可能性がある」とした上で、シークレットが漏えいするシナリオや、GitHubなどのSCMプラットフォームにおけるシークレットの漏えい対策を解説している。

Aqua Security Softwareが明らかにしたシークレット漏えいのシナリオ