Αποστολή κώδικα από ένα λειτουργικό στόλο χωρίς να αποκαλύπτονται τα μυστικά του

Αποστολή2026-10-29

Οι εργαλειοθήκες μας προέρχονται από κώδικα που τρέχει τον δικό μας στόλο, όπου τα αρχεία διαμόρφωσης περιέχουν κλειδιά API, tokens, κωδικούς πρόσβασης σε mailbox και αναγνωριστικά λογαριασμών. Μια εργαλειοθήκη που διαρρέει ένα από αυτά θα ήταν χειρότερη από το να μην υπήρχε καθόλου, γι' αυτό τίποτα δεν συμπιέζεται σε αρχείο zip μέχρι τρεις σαρωτές σε τρεις μηχανές να βρουν μηδέν ευρήματα.

Τι μπαίνει μέσα

Ο πακετοποιητής αντιγράφει μόνο τα αρχεία που ονομάζει η δήλωση (manifest) της εργαλειοθήκης, ποτέ ολόκληρο φάκελο, και εξαιρεί προσωρινά αρχεία (caches), αντίγραφα ασφαλείας και το ιστορικό ελέγχου εκδόσεων. Τα παραδείγματα και οι δοκιμές χρησιμοποιούν εφευρεμένα προϊόντα και αριθμούς, ποτέ τα δικά μας.

Οι σαρώσεις

• Στη μηχανή δόμησης: τα αρχεία σε στάδιο προετοιμασίας αναζητούνται για τις πραγματικές τιμές των μυστικών του στόλου (132 στην τελευταία δόμηση) και για τα δακτυλικά αποτυπώματα SHA-256 των 16.259 μυστικών συμβολοσειρών από τον σταθμό εργασίας μας. Ταξιδεύουν μόνο τα δακτυλικά αποτυπώματα· τα μυστικά του σταθμού εργασίας δεν τον εγκαταλείπουν ποτέ.
• Σε δύο ακόμη μηχανές: τα ίδια αρχεία αποστέλλονται σε κάθε μία και αναζητούνται εκεί εναντίον των μυστικών που διατηρεί η συγκεκριμένη μηχανή (498 και 129 τιμές), και στη συνέχεια διαγράφονται.
• Παντού: μοτίβα για μορφές κλειδιών, ιδιωτικές διευθύνσεις και προσωπικά δεδομένα.
• Πριν μετρήσει οποιοδήποτε αποτέλεσμα: κάθε σαρωτής εκτελεί πρώτα έλεγχο με τοποθετημένα «καναρίνια» (canaries) και πρέπει να βρει όλα, 23 ανά εκτέλεση, αλλιώς η δόμηση σταματά.

Ένα εύρημα σταματά τη δόμηση. Μόλις μια έκδοση έχει πωληθεί, δεν ξαναδημιουργείται ποτέ: μια διόρθωση αποστέλλεται ως νέα έκδοση, ώστε το αρχείο που κατεβάζει ο αγοραστής να είναι ακριβώς το αρχείο που σαρώθηκε.

Οι λανθασμένοι συναγερμοί που μας δίδαξαν τα περισσότερα

• Ένα σχόλιο που ξεκινούσε με «Each pass ends with» επισημάνθηκε ως κωδικός πρόσβασης εφαρμογής του Gmail. Αυτοί οι κωδικοί αποτελούνται από τέσσερις ομάδες τεσσάρων γραμμάτων, όπως και αυτή η φράση. Αναδιατυπώσαμε το σχόλιο.
• Το κοινό εύρος διευθύνσεων 100.64.0.0/10, που χρησιμοποιείται από το carrier-grade NAT και το Tailscale, επισημάνθηκε ως ιδιωτική διεύθυνση.
• Ένα όνομα μονάδας του systemd όπως το [email protected] μοιάζει με διεύθυνση email, και ένα placeholder αναγνωριστικό καταστήματος όπως το 9NXXXXXXXXXX μοιάζει με πραγματικό προϊόν.

Το σχόλιο που αναδιατυπώσαμε· τα άλλα τρία επιτράπηκαν για εκείνη τη συγκεκριμένη εργαλειοθήκη και αυτό το συγκεκριμένο μοτίβο, ποτέ παγκοσμίως, ώστε η επόμενη εργαλειοθήκη να σαρώνεται με την ίδια αυστηρότητα με την πρώτη. Ένας λανθασμένος συναγερμός κοστίζει ένα λεπτό, ενώ ένα χαμένο κλειδί θα κόστιζε πολύ περισσότερο.

Κάθε εργαλειοθήκη σε πώληση πέρασε από αυτή τη διαδικασία, με μηδέν ευρήματα σε κάθε έκδοση.