Код за доставка от работещ флийт, без да се разкриват неговите тайни

Доставка2026-10-29

Нашите комплекти идват от код, който управлява нашия собствен флийт, където конфигурационните файлове съдържат API ключове, токени, пароли за пощенски кутии и акаунт идентификатори. Комплект, който изтече с някой от тях, би бил по-лош от липсата на комплект, затова нищо не се архивира, докато три скенера на три машини не установят, че няма нищо.

Какво влиза

Пакетираният инструмент копира само файловете, посочени в манифеста на комплекта, никога цяла папка, и пропуска кешове, резервни копия и историята на контрола на версиите. Примерите и тестовете използват измислени продукти и стойности, никога наши.

Сканирането

• На машината за изграждане: подготвените файлове се търсят за реалните стойности на тайните на флийта (132 при последното изграждане) и за SHA-256 отпечатъци на 16 259 секретни низове от нашата работна станция. Пътуват само отпечатъците; тайните на работната станция никога не я напускат.
• На две допълнителни машини: същите файлове се изпращат към всяка от тях и се търсят там спрямо тайните, които машината съхранява (498 и 129 стойности), след което се изтриват.
• Навсякъде: модели за формати на ключове, частни адреси и лични данни.
• Преди да се отчете резултат: всеки скенер първо работи с поставени примамки и трябва да открие всички от тях, 23 на запуск, или изграждането спира.

Откритие спира изграждането. След като една версия е продадена, тя никога не се преизгражда: поправката се доставя като нова версия, така че файлът, който купувачът изтегля, е файлът, който е бил сканиран.

Фалшивите аларми, които ни научиха най-много

• Коментар, започващ с „Each pass ends with“, беше маркиран като парола за приложение на Gmail. Тези пароли са четири групи от по четири букви, и този израз е същият. Преформулирахме коментара.
• Общият адресен диапазон 100.64.0.0/10, използван от carrier-grade NAT и Tailscale, беше маркиран като частен адрес.
• Име на systemd unit като [email protected] изглеждаше като имейл адрес, а placeholder за id на магазин като 9NXXXXXXXXXX изглеждаше като реален продукт.

Коментарът, който преформулирахме; другите три бяха допуснати за този конкретен комплект и този конкретен модел, никога глобално, така че следващият комплект се сканира толкова строго, колкото първият. Фалшивата аларма струва минута, а пропуснат ключ би струвал много повече.

Всеки комплект в продажба премина през това, с нула открития при всяко издание.