GitHubは11月5日（現地時間）、シークレットスキャンの検出範囲を拡大するアップデートを発表した。SpaceXが新たにシークレットスキャンパートナーに加わった。また、Alibaba、AWS、Google、OpenVSX、Pydantic Services、Tencentの検出器に、誤検知を減らすフィルタリングが追加された。
今回、シークレットタイプ「starlink_public_api_v2_secret」が新たに検出対象となった。パートナーのシークレットがパブリックリポジトリで見つかった場合、GitHubはそれをパートナーに転送する。パートナーは、悪用される前に認証情報を失効またはローテーションできる。
Alibaba、AWS、Googleのアクセスキーなどでは、辞書フィルタリングによって対となるシークレットやキー識別子がすべて除外された場合、ペアになっていない一致を抑制する。OpenVSXのレガシートークンでは、無関係なUUIDを認証情報と見なさないようコンテキスト照合を厳格化した。Pydantic Servicesのlogfire_tokenでは、ドキュメントに記載されたトークン長と文字セットに一致させ、プレースホルダー値や公開ブラウザトークンを除外する。Tencentのtencent_cloud_secret_idでは、プレフィックスの後に英字と数字の両方を必須とし、関数名などの英字のみの識別子を除外する。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
