公開リポジトリにシークレットキーをアップロードすると起きること

GitHub と GitLab で実際に実験してみた結果を時系列で整理

1. AWS キーを GitHub にコミット

2. 7分後、GitGuardian から漏えい警報

3. 11分後、トークン損傷（compromised、漏えいしてもはや安全ではない状態）

4. 2時間のあいだにドイツ／オランダ／イギリス／ウクライナなどから 5件のアクセス通知

5. GitHub が脆弱な依存関係（Vulnerable Dependencies）アラートの警告メールを送ってくれる

6. GitLab にコミット

7. 62分後、最初で最後の一度だけトークンがフランスから使用される

8. GitLab では何のセキュリティ警告も受け取らない（セキュリティ通知は Gold / Ultimate ユーザーにのみ提供）

教訓

0. GitLab より GitHub をスキャンしているところの方が多い

1. GitHub を使っているなら GitGuardian サービスを一度見てみること

2. GitLab を使っているなら Gold / Ultimate へのアップグレードを検討

3. 漏えいを事前に防ぐには Talisman（Pre-Commit Hook）を使うこと

4. 漏えいしたかどうかを事後に確認するなら GitLeaks の導入を検討