Pourquoi les secrets des bundles JavaScript manquent toujours

Les fuites de clés API ne sont plus inhabituelles, pas plus que les violations qui s'ensuivent. Alors pourquoi les jetons sensibles sont-ils encore si facilement exposés ?

Pour le savoir, l'équipe de recherche d'Intruder a examiné ce que les scanners de vulnérabilités traditionnels couvraient réellement et a construit une nouvelle méthode de détection des secrets pour combler les lacunes des approches existantes.

L'application de cette méthode à grande échelle en analysant 5 millions d'applications a révélé plus de 42 000 jetons exposés dans 334 types de secrets, révélant ainsi une classe majeure de secrets divulgués qui n'est pas bien gérée par les outils existants, en particulier dans les applications à page unique (SPA).

Dans cet article, nous décomposons les méthodes de détection de secrets existantes et révélons ce que nous avons trouvé lorsque nous avons analysé des millions d'applications à la recherche de secrets cachés dans les bundles JavaScript.

Méthodes établies de détection des secrets (et leurs limites)

Détection de secrets traditionnels

L'approche traditionnelle et entièrement automatisée de la détection des secrets d'application consiste à rechercher un ensemble de chemins connus et à appliquer des expressions régulières pour correspondre aux formats de secrets connus.

Bien que cette méthode soit util...
[Courte citation de 8% de l'article original]