Push protection no GitHub está liberado e é gratuito para todos os repositórios públicos

Capacitar profissionais de desenvolvimento de software com segurança intuitiva integrada em seu trabalho é um passo importante para tornar a segurança mais proativa e menos reativa. Em abril de 2022, o GitHub anunciou o lançamento da versão beta do recurso de Push Protection do escaneamento de credenciais (também conhecido como secret scanning) para usuários do GitHub Advanced Security (GHAS), e as pessoas desenvolvedoras que utilizaram a esse recurso evitaram 17 mil possíveis vazamentos de credenciais, economizando mais de 95 mil horas revogando, alternando e corrigindo segredos expostos.

Hoje, o recurso Push Protection está disponível para todos os repositórios privados com uma licença GHAS. Mas visando ajudar profissionais e pessoas mantenedoras de Open Source a proteger proativamente seu código, o GitHub também está disponibilizando gratuitamente o recurso para todos os repositórios públicos.

O Push Protection evita vazamentos de credenciais sem comprometer a experiência de desenvolvimento, verificando segredos altamente identificáveis antes que alterações sejam efetivadas.

De acordo com Mariam Sulakian, gerente Sênior de Produtos do GitHub, e Zain Malik, gerente Sênior de Marketing de Produtos do GitHub, a plataforma tem uma parceria estreita com provedores de serviços para garantir que os tokens tenham uma baixa taxa de falsos positivos, garantindo a confiança e credibilidade nos alertas. “Quando uma credencial é detectada no código, as pessoas desenvolvedoras são alertadas diretamente em seu ambiente de desenvolvimento integrado (IDE), ou interface de linha de comando, com a orientação de correção para garantir que o segredo nunca seja exposto”, afirmam.

Como explica Ger McMahon, diretor de ferramentas e plataformas de ALM na Fidelity Investments, “incorporar escaneamento de credenciais com Push Protection diretamente no workflow de desenvolvimento reduz o atrito, permitindo que profissionais criem códigos mais seguros e de alta qualidade”.

Como Push Protection funciona?
Profissionais de desenvolvimento precisam de ferramentas confiáveis para trabalhar com código, e com esse recurso, quando enviam um commit contendo uma credencial, um prompt de Push Protection aparecerá com informações sobre o tipo do segredo, local e como corrigir a exposição em questão. E depois de remover o segredo do histórico de commits, será possível reenviar o commit. A ferramenta de proteção bloqueia apenas segredos com baixas taxas de falsos positivos, portanto, quando um commit é bloqueado, é um sinal de que vale a pena investigar.

Talvez seja preciso enviar um enviar código que contém um segredo, como, por exemplo, ao precisar corrigir uma interrupção de serviço com rapidez e lidar com os segredos depois. Nestes casos, é possível ignorar o alerta Push Protection ao fornecer um motivo, como se aquele material fosse usado para teste, se é um falso positivo ou se é um risco aceitável que será corrigido posteriormente. Assim, administradores e gerentes de segurança do repositório e da organização receberão um alerta por e-mail sobre todos os desvios e poderão auditá-los por meio de logs de auditoria corporativos e organizacionais, interface de exibição de alerta, API REST ou eventos de webhook.

De acordo com Leo Stolyarov, diretor e Líder de Práticas de Nuvem da KPMG, essa abordagem garante uma postura de segurança aprimorada sem comprometer a velocidade e o fluxo de trabalho. “O Push Protection de escaneamento de credenciais é um recurso que trouxe melhor conscientização de segurança e proteção contra segredos vazados, e realmente não compromete a experiência no desenvolvimento”, ressaltou.

Como começar a usar Push Protection?
Para ativar o Push Protection em um repositório, organização ou empresa, basta acessar as configurações de “Code security and analysis” e ir para baixo até a seção de escaneamento de credenciais (Secret Scanning). É possível habilitar “Secret Scanning”, seu subconjunto e “Push Protection” ao selecionar o botão “Enable All”.

O GitHub também dá a opção de ativar automaticamente o recurso Push Protection ou fornecer um link de recurso personalizado, que aparecerá em uma mensagem do push protection, por meio das caixas de seleção na seção “Push Protection”. Isso garantirá que a ferramenta seja aplicada a qualquer novo repositório criado em uma empresa ou organização.

Os clientes do GitHub Advanced Security também podem personalizar mais sua implementação, habilitando o Push Protection em seus padrões de segredo customizados.

Interessados podem acessar a documentação da plataforma para saber mais sobre o recurso Push Protection, GitHub Advanced Security ou sobre o programa de parcerias de escaneamento de credenciais (Secret scanning partner program).