GitHub、コードに書いてはいけないシークレットの検知機能をすべてのパブリックリポジトリに無料で正式提供開始

2023年3月1日

GitHubは、ソースコード中に書くべきではないパスワードやアクセストークンなどのシークレットをコードやアーカイブから発見し通知してくれる「Secret scanning」機能を、すべてのパブリックリポジトリに無料で正式機能として提供開始したことを発表しました

パスワードやアクセストークンなどのシークレットは、APIなどを呼び出す際にそのコードの実行者が適正な呼び出し権限を持つことを示すためなどの目的で用いられるもので、一般的には特殊な文字列で表されます。

プログラマの不注意や手抜きなど、何らかの原因でシークレットがコード内にそのまま記述されると、本来そのシークレットを知るべきでない人物にまでシークレットを利用して不正にAPIなどを呼び出しできるようになります。それにより守るべき情報が外部に漏洩したり、知らぬ間にAPI利用料が請求されたりする事故につながりかねません。

以前から不用意にソースコードに書かれたシークレットを素早く盗み取って不正アクセスに利用する攻撃の手口は活発化しており、ソースコードからのシークレット漏洩の危険性は高まっていました。

この機能は2020年5月に、まずプライベートリポジトリでベータ版として利用可能になり、昨年(2022年)12月にはパブリックリポジトリに対してもベータ版として提供していた機能でした。それが今回、正式版の機能となりました。

Tags: セキュリティ 開発ツール GitHub Microsoft

このエントリーをはてなブックマークに追加
ツイート
follow us in feedly





タグクラウド

クラウド / AWS / Azure / Google Cloud
コンテナ / Docker / Kubernetes
クラウドネイティブ / サーバレス
クラウド障害 / 運用・監視

プログラミング言語 / 開発ツール
JavaScript / Java / .NET / WebAssembly
HTML/CSS / Web標準

アジャイル開発 / スクラム / DevOps / CI/CD
ソフトウェアテスト・品質
ローコード/ノーコード開発

データベース / RDB / NoSQL / 機械学習・AI
Oracle Database / MySQL / PostgreSQL
Office / 業務アプリケーション

ネットワーク / HTTP / QUIC / セキュリティ
OS / Windows / Linux / VMware
ハードウェア / サーバ / ストレージ

業界動向 / 働き方 / 給与・年収
編集後記 / 殿堂入り / おもしろ

全てのタグを見る

Blogger in Chief

photo of jniino

Junichi Niino(jniino)
IT系の雑誌編集者、オンラインメディア発行人を経て独立。2009年にPublickeyを開始しました。
詳しいプロフィール

Publickeyの新着情報をチェックしませんか?
Twitterで : @Publickey
Facebookで : Publickeyのページ
RSSリーダーで : Feed

最新記事10本