［速報］GitHub、見られてはいけないコード中のアクセストークンを発見し通知してくれる「Token Scanning」発表。GitHub Universe 2018 － Publickey

［速報］GitHub、見られてはいけないコード中のアクセストークンを発見し通知してくれる「Token Scanning」発表。GitHub Universe 2018 クラウドサービスが充実してきたことで、コードからクラウドAPIを呼び出して利用することが一般的になってきました。クラウドAPIを呼び出す際には、適正な呼び出し権限を持つことを示すため、あるいは呼び出す側を特定して課金するなどの目的でアクセストークンを用いることがあります。 アクセストークンは第三者に知られないように安全に管理し利用する必要がありますが、何らかの原因でアクセストークンがコード内にそのまま記述されてそのコードがGitHubなどで公開された結果、悪意のある第三者に使われ、アクセストークン本来の持ち主に膨大な利用料金が請求される、といった事故がしばしば起きています。 GitHubはこうした事故を防ぐため、コード内に記

[Kil]

うっかりトークンあげちゃうような人が、ちゃんとアラート見てすぐに対応するんだろうか問題。

[sho]

あれ、すでに提供されていたものだと……あれはAWSのbotか。

[aroechan]

ちょっとやばいかもって奴は頼むから課金してPrivateリポジトリ作れよ

[Fushihara]

githubに課金すると、何も考えずプライベートで上げまくって草は生えてるけど公開レポジトリが少ない怪しいレポジトリが出来るのがつらい

[htsign]

bareのpre-receive用に配布してほしい

[harumomo2006]

通知なんて甘いブロックしよう

[nasustim]

Githubって前からプライベートキーをpushしちゃうとメールが送られてきたような気がするけど

[rrringress]

優しさ

[nazoking]

githubのプライベートアクセストークンをプロジェクトやorg単位で制限できるようにしてほしいです…

[yumu19]

ほぅ。

[sjn]

トークン使ってるサービスから対処コストかさばるからどうにかしろってクレーム来てたんだろうなぁ

[yoshi-na]

「通知してくれるなら安心してトークンをpushできるね！！」

[Windblume2007]

アラート+伏せ字にしたでって言うのが完璧な気がするけどなー

[koseki]

セキュリティトークンはマーカを含める仕様にして、検知しやすくしたらいいんじゃないかなー。悪用もされやすくなるけど、どっちにしても悪用はされてるし

[tsh71]

AWSが秘密鍵をpushしちゃったリポジトリをクロールしてるのと同じやつですね。

[surumedaka]

じっそうされるのおそすぎやない？

[masterq]

"これまでのJavaScript、Ruby、Pythonに加え、Javaと.NETへの対応が発表" 結局世界はJVMと.NETに収束するのか。。。

[solidstatesociety]

次ステップで対象ファイルをFix確認しないとチェックアウトされないとかありそう

[napsucks]

githubに偽のアクセストークンを自動アップしまくって悪いやつらのクローラーに負荷をかけるというのはどうかな

[karia]

おっ

[koogawa]

アクセストークンそのままプッシュしちゃう人結構見るよね

[verda]

公式vs悪人のアクセスキー争奪戦

[cartman0]

gitlabでええやろ

[circled]

github側で対策搭乗するだろうか？とAWSのアクセストークン晒した記事でブコメしてたら、本当に実現されてしまった感。github側も重々承知していたのか、Amazonからリクエストが多かったのか。

[arearekorekore]

aws｢やったぜ｣

[shoh8]

優しい世界になるな。悪用問題による被害請求もこれで却下されちゃうんだろうか

[hirokinko]

朗報

[koyancya]

まだ無かったんだ、って言われるくらい必要な機能になってる昨今

[Soraneko]

やさしい世界（免除やら返金やらAWS側も対応が大変そう）

[civitaspo]

よさげ

[MofuMofu]

へー！使ってみよ

[toyama0919]

AWSのアクセスキーとかだな