Mackenzie Jackson et Dwayne McDaniel, deux chercheurs en cybersécurité de la société spécialisée GitGuardian, estiment que les commits publics de GitHub recèlent « au moins 10 millions de secrets », soit 67 % de plus que l'an passé, relève SC Magazine.
Par « secrets », ils entendent « tout ce qui permet d'accéder à un autre système ou de déchiffrer des données », qu'il s'agisse de paires nom d'utilisateur/mot de passe, de jetons d'API, d'URL de connexion à une base de données ou de cookies de session de navigateur.
Intervenant à la conférence BSides de Las Vegas, ils ont expliqué que « un utilisateur de GitHub sur 10 a partagé un secret en 2022 », mais également que « 5,5 commits sur 1 000 contenaient un secret », soit 50 % de plus que l'an passé. Les clés d'API de Google, représentant 9,7 % du total, auraient été le secret le plus souvent divulgué en 2022.
Les chercheurs de GitGuardian, qui ont décompilé 50 000 applications Android du Google Play Store, ont également découvert que près de la moitié d'entre elles exposaient des informations d'identification en clair.
Jackson a expliqué qu'il était très simple de vérifier si les applications mobiles contenaient des secrets codés en dur. Il faut d'abord télécharger une application mobile sur un ordinateur, à l'aide d'un logiciel comme GPlayDL (pour Android) ou ipatool (pour iOS).
L'application Android peut être décompilée à l'aide d'un outil appelé JADX ; pour les applications iOS, il suffit de changer le type de fichier .ipa en .zip et de décompresser les fichiers, puis d'utiliser l'application de GitGuardian, GGShield, pour rechercher des informations d'identification.
