GitHub Dorking

Définition

Le GitHub Dorking est l'application des techniques de recherche avancée à la plateforme GitHub (et ses équivalents GitLab, Bitbucket) pour découvrir des informations sensibles involontairement exposées dans des dépôts de code publics. Des milliers d'organisations exposent chaque jour des credentials, des clés API, des tokens d'accès et des fichiers de configuration dans leurs dépôts publics. La plateforme GitHub propose une syntaxe de recherche avancée similaire aux opérateurs Google : org: pour cibler une organisation, filename: pour chercher des noms de fichiers spécifiques, extension: pour les extensions de fichiers, content: pour le contenu, et des combinaisons permettant de cibler précisément des patterns de credentials. Des requêtes comme org:acme password, filename:.env DB_PASSWORD ou extension:pem private retournent souvent des résultats alarmants. Les types de secrets les plus fréquemment découverts incluent : les clés API de services cloud (AWS access keys avec le pattern AKIA…, clés Google Cloud, tokens Azure), les tokens d'authentification (OAuth, JWT, tokens GitHub/GitLab), les mots de passe de bases de données, les certificats et clés privées (.pem, .key, .p12), les fichiers de configuration d'environnement (.env, .env.local, config.yml), et des codes sources d'applications propriétaires. L'historique Git est particulièrement révélateur : même si un secret a été supprimé d'un commit récent, il reste accessible dans l'historique des commits sauf si le dépôt a été nettoyé avec des outils comme BFG Repo-Cleaner ou git filter-branch. Les attaquants scannent systématiquement les historiques de commits à la recherche de credentials qui "ont été ajoutés par erreur, puis supprimés". Des outils automatisés spécialisés dans cette recherche incluent : truffleHog (scan de l'historique Git pour les patterns de secrets avec haute entropie), GitLeaks (similaire avec une configuration flexible), Gitrob (scan d'organisations GitHub entières), and secretlint (utilisé en pré-commit hook pour prévenir les commits accidentels de secrets).