Truffle Security, 1.4 Milyon Açık Sırrı İptal Etme Programı Başlattı

Truffle Security, API anahtarı veren kuruluşların 1.4 milyon kamuya açık ve geçerli sırrı iptal etmelerine yardımcı olan ücretsiz bir girişim olan Sır İptal Programı'nı başlattı. 2022 yılından bu yana, şirket, kamuya açık havuzlarda, paketlerde, konteyner görüntülerinde, veri setlerinde ve uygulamalarda gömülü sırları tespit etti.

Bu yılın başlarında Truffle Security, kamuya açık GitHub havuzlarında 543,000 geçerli kimlik bilgisi sızdırıldığını bildirmişti. Ayrı bir araştırmada, şirket, kod havuzları, Git geçmişleri, veri setleri, Docker görüntüleri, kayıt defterleri ve CI günlüklerinde 431,000'den fazla AWS sırrı tespit etti.

Bu sırlar genellikle geliştirme sürecinde yanlışlıkla açığa çıkıyor; geliştiriciler kimlik bilgilerini kamuya açık havuzlara yükleyebiliyor, yayımlanan Docker görüntülerine veya paketlere dahil edebiliyor ya da uygulama veya veri seti ile birlikte yüklenen yapılandırma dosyalarında bırakabiliyorlar.

Truffle Security, bu sırların sahiplerinin sızdırılan veriler hakkında araştırmacıların bildirimlerine yanıt vermediğini belirtiyor. Şirket, "Geliştiricilere anahtarlarının sızdığı söylenmesi onları kapatmaya yetmiyor: Geçen yıl bildirdiğimiz anahtarların %81'i altı ay sonra hâlâ çalışıyordu," açıklamasında bulundu.

Sonuç olarak, açığa çıkan sırlar, etkilenen şirketlerin ötesinde, müşterilerine ve sonraki uygulama kullanıcılarına kadar uzanan gereksiz güvenlik riskleri oluşturuyor. Araştırmacılar, yapay zeka kodlama araçlarının artışının durumu daha da kötüleştirdiğini ve sırların açığa çıkmasını artırdığını vurguladı. Araştırmacılar, "2025 yılından itibaren, AI kodlama araçlarının yapılandırma dosyalarında 2,655 çalışan anahtar bulduk," diyerek, bunun bir yıl önce var olmayan bir sorun olduğunu belirtti.

Truffle'ın yeni programı, sızdırılan anahtarların geçerliliğini kontrol etmek için TruffleHog aracını kullanarak, açığa çıkan sırların iptalini bu sırları veren kuruluşlarla koordine etmeyi amaçlıyor. Truffle, ya bu kuruluşların sağladığı bir iptal uç noktasını kullanabileceğini ya da doğrulanmış anahtarları bir webhook aracılığıyla sağlayarak 14 gün içinde iptal edebileceğini belirtiyor. Bu şekilde, sahipleri yanıt vermediğinde bile anahtarlar geçersiz kılınabiliyor.

Programda yer alan on altı kuruluş arasında Hugging Face, Notion, Vercel, Resend, RubyGems ve Twilio gibi isimler bulunuyor. Truffle, tek taraflı iptal yaklaşımının oldukça etkili olabileceğini, Google'ın 16 Haziran 2024'te açığa çıkan Google Cloud hizmet hesabı anahtarlarını varsayılan olarak devre dışı bırakmaya başladığında gösterdiğini belirtiyor. Google, yalnızca anahtar sahiplerini bilgilendirmeye dayandığında, Truffle Security, birçok müşterinin yanıt vermediğini ve açığa çıkan sırların %72'sinin aktif kaldığını tespit etti. Sızdırılan anahtarları otomatik olarak devre dışı bırakmak bu oranı %11'e düşürdü.

Tüm geçerli açık anahtarları ortadan kaldırmak imkânsız olsa da, bu önlem etkili bir şekilde çalıştı. API anahtarları veren şirketler, müşterilerini otomatik olarak korumak için Truffle Security'nin Sır İptal Programı'na katılabilir.