Přenos kódu z funkční flotily bez přenosu jejích tajných údajů

Doručení2026-10-29

Naše balíčky pocházejí z kódu, který pohání naši vlastní flotilu, kde konfigurační soubory obsahují klíče API, tokeny, hesla k poštovním schránkám a ID účtů. Balíček, který by prozradil jeden z nich, by byl horší než žádný balíček, takže nic není zabaleno, dokud tři skenery na třech strojích nic nenajdou.

Co se do balíčku dostane

Balíčkovací nástroj kopíruje pouze soubory uvedené v manifestu balíčku, nikdy celý adresář, a vynechává mezipaměti, zálohy a historii verzí. Příklady a testy používají vymyšlené produkty a hodnoty, nikdy naše.

Skenování

• Na buildovacím stroji: připravené soubory jsou prohledávány na skutečné hodnoty tajných údajů flotily (132 při posledním buildu) a na otisky SHA-256 16 259 tajných řetězců z naší pracovní stanice. Přenášejí se pouze otisky; tajné údaje pracovní stanice ji nikdy neopustí.
• Na dvou dalších strojích: stejné soubory jsou odeslány na každý z nich a prohledávány tam proti tajným údajům, které daný stroj obsahuje (498 a 129 hodnot), a následně smazány.
• Všude: vzory pro formáty klíčů, privátní adresy a osobní údaje.
• Než se něco započítá: každý skener nejprve projde na nastražených kanárcích a musí najít všechny, 23 při každém běhu, jinak se build zastaví.

Nález zastaví build. Jakmile je verze prodána, nikdy se nepřestavuje: oprava se dodává jako nová verze, takže soubor, který kupující stáhne, je soubor, který byl naskenován.

Falešné poplachy, které nás nejvíce naučily

• Komentář začínající „Each pass ends with“ byl označen jako heslo aplikace Gmail. Tato hesla jsou čtyři skupiny po čtyřech písmenech a tento výraz je také. Komentář jsme přeformulovali.
• Sdílený rozsah adres 100.64.0.0/10, který používá carrier-grade NAT a Tailscale, byl označen jako privátní adresa.
• Název jednotky systemd jako [email protected] vypadal jako e-mailová adresa a zástupné ID obchodu jako 9NXXXXXXXXXX vypadalo jako skutečný produkt.

Přeformulovaný komentář; ostatní tři byly povoleny pro tento jeden balíček a tento jeden vzor, nikdy globálně, takže další balíček je skenován stejně přísně jako první. Falešný poplach stojí minutu, ale promeškaný klíč by stál mnohem více.

Každý balíček v nabídce tímto prošel s nulovými nálezy při každém vydání.