Простая ошибка в коде приводит к раскрытию ключей API на тысячах веб-сайтов.

      После анализа 10 миллионов веб-страниц исследователи обнаружили тысячи сайтов, случайно раскрывающих конфиденциальные учетные данные API, включая ключи, связанные с крупными сервисами, такими как Amazon Web Services, Stripe и OpenAI.

      Это серьезная проблема, потому что API являются основой приложений, которые мы используем сегодня. Они позволяют веб-сайтам подключаться к таким сервисам, как платежи, облачное хранилище и инструменты ИИ, но для обеспечения безопасности они полагаются на цифровые ключи. После раскрытия ключи API могут позволить любому взаимодействовать с этими сервисами с злонамеренными намерениями.

      Конфиденциальные ключи API, раскрытые на тысячах сайтов

      Согласно TechXplore, исследователи идентифицировали 1,748 уникальных учетных данных API на почти 10,000 веб-страницах, связанных с 14 крупными поставщиками услуг. Эти утечки не ограничивались неясными сайтами, некоторые из них появились на платформах, управляемых глобальными банками и крупными разработчиками программного обеспечения.

      Около 84% этих утечек произошло из файлов JavaScript, которые легко доступны через браузер. Это означает, что учетные данные фактически находились в общедоступном коде.

      Еще более тревожно, как долго эти ключи оставались открытыми. Некоторые были видны до 12 месяцев, в то время как в нескольких редких случаях учетные данные оставались публичными в течение нескольких лет без обнаружения.

      Так что же вызывает эти утечки?

      Pixabay

      Исследование ясно показывает, что проблема не в поставщиках услуг, таких как Amazon, Stripe или OpenAI. Вместо этого проблема заключается в том, как разработчики обрабатывают ключи API.

      Во многих случаях разработчики случайно включают частные учетные данные API в код фронтенда веб-сайта, оставляя их видимыми для любого, кто знает, где искать.

      Как предотвратить раскрытие ключей API?

      Чтобы предотвратить будущие утечки, исследователи предлагают несколько практических шагов. Разработчики должны сканировать живую версию своих веб-сайтов, а не только частный код, чтобы поймать раскрытые ключи.

      Adobe / Adobe

      С ростом вибекодирования компаниям нужны более строгие правила для автоматизированных инструментов создания веб-сайтов, которые обрабатывают конфиденциальные данные во время развертывания. Именно поэтому платформы, такие как Lovable, начали добавлять инструменты безопасного просмотра, чтобы защитить пользователей от плохо вибекодированных веб-сайтов.

      Тем временем поставщики услуг должны улучшить системы обнаружения, чтобы помечать раскрытые ключи в момент их появления в сети. Хотя ответственное раскрытие помогло сократить некоторые из этих утечек, масштаб проблемы остается значительным.

      Недавние отчеты также показали, как простое посещение веб-сайта может подвергнуть ваше устройство серьезным рискам, подчеркивая, насколько хрупкой может быть безопасность в Интернете для обычных пользователей.