Tokenien vuotaminen (token exfiltration)

Tokenien vuotamisella (token exfiltration) tarkoitetaan todennustietojen, kuten API-avainten, OAuth-käyttöoikeustokenien, JWT:iden tai CI/CD-salaisuuksien, varastamista tai luvatonta poimimista. Varastettuina nämä tokenit antavat hyökkääjälle samat oikeudet kuin niiden oikealla haltijalla, ilman että salasanaa tarvitaan.

CI/CD-ympäristöissä GITHUB_TOKEN ja vastaavat putken salaisuudet ovat arvokkaita kohteita. Hyökkääjä, joka onnistuu suorittamaan koodia työnkulun runnerilla, voi lukea ympäristömuuttujia tai tokenivarastoa ja vuotaa tunnistetiedot ulkoiselle palvelimelle.

Ehkäiseviä toimia ovat muun muassa tokenien oikeuksien rajaaminen välttämättömään, lyhyet voimassaoloajat, poikkeavan API-käytön valvonta ja egress-käytännön soveltaminen CI-runnereihin lähtevän tiedon vuotamisen estämiseksi.