Rapport d’étalement de l’état des secrets de Gitguardian pour 2025 révèle l’échelle alarmante de l’exposition aux secrets dans les environnements logiciels modernes. La conduite est la croissance rapide des identités non humaines (NHIS), qui sont plus nombreuses que les utilisateurs humains depuis des années. Nous devons prendre de l’avance et préparer des mesures de sécurité et une gouvernance pour ces identités de la machine alors qu’elles continuent d’être déployées, créant un niveau de risque de sécurité sans précédent.
Ce rapport révèle que 23,77 millions de nouveaux secrets ont été divulgués sur Github en 2024 seulement. Il s’agit d’une augmentation de 25% par rapport à l’année précédente. Cette augmentation spectaculaire souligne comment la prolifération des identités non humaines (NHIS), telles que les comptes de service, les microservices et les agents de l’IA, élargit rapidement la surface d’attaque pour les acteurs de la menace.
La crise d’identité non humaine
Les secrets du NHI, y compris les clés d’API, les comptes de services et les travailleurs de Kubernetes, sont désormais plus nombreux que les identités humaines d’au moins 45 à 1 dans les environnements DevOps. Ces références basées sur la machine sont essentielles pour les infrastructures modernes mais créent des défis de sécurité importants lorsqu’ils sont mal gérés.
Le plus préoccupant est la persistance des références exposées. L’analyse de Gitguardian a révélé que 70% des secrets détectés pour la première fois dans les référentiels publics en 2022 restent actifs aujourd’hui, indiquant une défaillance systémique des pratiques de rotation et de gestion des informations d’identification.
Référentiels privés: un faux sentiment de sécurité
Les organisations peuvent croire que leur code est sécurisé dans les référentiels privés, mais les données racontent une histoire différente. Les référentiels privés sont environ 8 fois plus susceptibles de contenir des secrets que les secrets que les secrets. Cela suggère que de nombreuses équipes s’appuient sur la «sécurité par l’obscurité» plutôt que sur la mise en œuvre de la gestion appropriée des secrets.
Le rapport a révélé des différences significatives dans les types de secrets divulgués dans les référentiels privés par rapport aux référentiels publics:
- Les secrets génériques représentent 74,4% de toutes les fuites dans des référentiels privés contre 58% en public
- Les mots de passe génériques représentent 24% de tous les secrets génériques dans les référentiels privés, contre seulement 9% dans les référentiels publics
- Les références d’entreprise comme AWS IAM Keys apparaissent dans 8% des référentiels privés, mais seulement 1,5% des publics publics
Ce modèle suggère que les développeurs sont plus prudents avec le code public mais qui coupent souvent les coins dans des environnements qui, selon eux, sont protégés.
Les outils d’IA aggravent le problème
Github Copilot et d’autres assistants de codage d’IA pourraient stimuler la productivité, mais Ils augmentent également les risques de sécurité. Les référentiels avec copilote activés se sont avérés avoir un taux d’incidence de 40% plus élevé de fuites secrètes par rapport aux référentiels sans assistance en IA.
Cette statistique troublante suggère que le développement alimenté par l’IA, tout en accélérant la production de code, peut encourager les développeurs à hiérarchiser la vitesse sur la sécurité, en intégrant les références de manière à éviter les pratiques de développement traditionnelles.
Docker Hub: plus de 100 000 secrets valides exposés
Dans une analyse sans précédent de 15 millions d’images publiques Docker de Docker Hub, Gitguardian a découvert plus de 100 000 secrets valides, notamment des clés AWS, des clés GCP et des jetons GitHub appartenant aux sociétés du Fortune 500.
La recherche a révélé que 97% de ces secrets valides ont été découverts exclusivement dans les couches d’image, la plupart apparaissant dans des couches inférieures à 15 Mo. Les instructions de l’ensemble ont représenté à elles seules 65% de toutes les fuites, mettant en évidence un angle mort significatif dans la sécurité des conteneurs.
Au-delà du code source: secrets dans les outils de collaboration
Les fuites secrètes ne sont pas limitées aux référentiels de code. Le rapport a révélé que les plateformes de collaboration comme Slack, Jira et Confluence sont devenues des vecteurs importants pour une exposition aux informations d’identification.
De façon alarmante, les secrets trouvés dans ces plates-formes ont tendance à être plus critiques que ceux des référentiels de code source, avec 38% des incidents classés comme hautement critiques ou urgents par rapport à 31% dans les systèmes de gestion de code source. Cela se produit en partie parce que ces plates-formes n’ont pas les contrôles de sécurité présents dans les outils de gestion des codes source modernes.
De façon alarmante, seulement 7% des secrets trouvés dans les outils de collaboration se trouvent également dans la base de code, ce qui fait de ce domaine de secrets étalement un défi unique que la plupart des outils de numérisation secrets ne peuvent pas atténuer. Il est également exaspéré par le fait que les utilisateurs de ces systèmes franchissent toutes les limites du département, ce qui signifie que tout le monde fuit potentiellement les informations d’identification dans ces plateformes.
Le problème des autorisations
Exacerbant davantage le risque, Gitguardian a constaté que les informations d’identification divulguées ont souvent des autorisations excessives:
- 99% des clés de l’API GitLab avaient un accès complet (58%) ou un accès en lecture seule (41%)
- 96% des jetons GitHub avaient un accès en écriture, avec 95% offrant un accès complet au référentiel
Ces autorisations générales amplifient considérablement l’impact potentiel des références divulguées, permettant aux attaquants de se déplacer latéralement et de dégénérer plus facilement les privilèges.
Briser le cycle de l’étalement des secrets
Bien que les organisations adoptent de plus en plus des solutions de gestion secrète, le rapport souligne que ces outils ne sont pas suffisants. Gitguardian a constaté que même les référentiels utilisant des gestionnaires de secrets avaient un taux d’incidence de 5,1% de secrets divulgués en 2024.
Le problème nécessite Une approche complète qui aborde l’ensemble du cycle de vie des secretscombiner la détection automatisée avec des processus de correction rapide et intégrer la sécurité tout au long du flux de travail de développement.
Comme notre rapport conclut, “Le rapport d’étalement de l’état des secrets de 2025 Offre un avertissement frappant: à mesure que les identités non humaines se multiplient, leurs secrets associés et leurs risques de sécurité. Les approches réactives et fragmentées de la gestion des secrets ne sont tout simplement pas suffisantes dans un monde de déploiements automatisés, de code généré par l’IA et de livraison rapide des applications. “