Secret Gate
Julkaisuvartija, joka tuntee oikeat salaisuutesi: mikään ei lähtee tuotantoon, ennen kuin se ei löydä mitään.
- Linux or macOS
- Python 3.9+
- Git hooks
- CI
Mitä se tekee
Secret Gate vastaa yhteen kysymykseen ennen kuin mikään lähtee käsistäsi, olipa kyseessä julkaisun zip-paketti, asiakaskopio, avoimen lähdekoodin push tai seuraava commit: sisältääkö tämä minun salaisuuteni? Se tietää, mitkä salaisuutesi ovat, koska se lukee tiedostot, joissa ne asuvat, eikä se koskaan näytä yhtäkään: löydös nimeää tiedoston, rivin ja mistä arvo tuli.
- Tarkat arvosi. Jokainen arvo env-tiedostoissasi, JSON- ja YAML-konfiguraatioissa,
.netrc- ja avaintiedostoissa, etsittynä sellaisenaan, base64-koodattuna ja URL-koodattuna. Salasana, joka näyttää tavalliselta sanalta, tai sisäinen token ilman tunnettua etuliitettä, havaitaan kuten muutkin. - Salaisuudet koneilta, joilla se ei pyöri. Tee sormenjäljet kannettavallesi; build-palvelin löytää ne arvot pitämättä niitä koskaan hallussaan.
- Toiset koneet tarkistavat omia salaisuuksiaan vastaan. Tiedostot lähetetään kullekin koneelle SSH:n yli, skannataan siellä ja poistetaan. Salaisuudet eivät koskaan liiku, ja kone, joka ei pysty vastaamaan, estää julkaisun.
- Muodot, nimet ja kohina myös. 25 token-muotoa, nimesi, isännät, verkkotunnukset ja tilitunnisteet, yksityiset IP-osoitteet, henkilökohtaiset sähköpostiosoitteet, puhelinnumerot, IBAN:t, kotikansion polut ja satunnaiset merkkijonot salaisilta nimiltä näyttävien vieressä.
- Se todistaa itsensä joka kerta. Jokainen skannaus alkaa istuttamalla kaikenlaisia kanarialintuja; jos jokin tarkistus ei löydä kanariaansa, skannausta ei suoriteta.
- Missä jo työskentelet. Kansiota, zip- ja tar-arkistot, git pre-commit- tai pre-push-hook, exit-koodit CI:lle, JSON-raportti.
Testattu sitä, mitä lähetämme
- Jokainen myymämme paketti: 8 julkaistua arkistoa skannattuna 133 salaiselta arvolta build-koneellamme ja 16 259 sormenjäljestä kannettavaltamme. Kaikki läpäisty, yhteensä 5,4 sekunnissa.
- Oikea salaisuus istutettu julkaisukopioon havaittiin selkeänä ja base64-koodattuna, kerrallaan nimettynä tiedostosta, josta se tuli. Arvo ei esiintynyt missään tulosteessa tai raportissa.
- Etäskannaus SSH:n yli tarkisti julkaisun toisen koneen 499 salaiseen arvoon verrattuna 1,4 sekunnissa ja havaitsi tokenin, joka oli istutettu kopioon, joka oli olemassa vain sillä koneella.
Mitä paketissa on
Vartija
Neljä tarkistusta, itsetesti, arkisto- ja git-staged-skannaus, luettava raportti ja JSON-raportti.
Sormenjäljet
Yhden koneen salaisuuksien sormenjäljet, toisella koneella tehtävää skannausta varten, ilman arvoja.
Etäskannaukset
Samat tiedostot tarkistetaan jokaisella koneella, jossa on salaisuuksia, projektisi säännöt mukaan lukien.
Asennus ja CI
Etsin salaisuustiedostoillesi, git-koukut ja GitHub Actions -työnkulku julkaisuarkistoja varten.
Vaatimukset
- Linux tai macOS, jossa on Python 3.9 tai uudempi; mitään ei tarvitse asentaa pipillä.
- Git koukkujen käyttöön, SSH etäskannauksiin.
Tietoa
- Se lukee tiedostot sellaisina kuin ne ovat nyt. Salaisuus, joka on jo git-historiassasi, pysyy siellä: vaihda se.
- Skannattavan kansion sisällä olevia arkistoja ei avata; skannaa jokainen arkisto erikseen.
- Pidä sormenjälkitiedostot yhtä salaisina kuin salaisuudet: ne sisältävät kunkin 16 merkkiä tai pidemmän arvon ensimmäiset 4 merkkiä.
Kysymykset
Miten tämä eroaa gitleaksista tai TruffleHogista?
Nuoet etsivät sitä, miltä salaisuudet yleensä näyttävät, ja ne ovat siinä hyviä. Secret Gate tietää myös, mitä salaisuutesi todellisuudessa ovat: se lukee omat salaisuustiedostosi ja etsii juuri näitä arvoja, joten myös tunnistamattoman muotoinen tietokantasalasana tai sisäinen token havaitaan. Se on tehty yhtä hetkeä varten, ennen kuin jotakin lähetetään, ja se epäonnistuu turvallisesti (fails closed).
Lähetetäänkö salaisuuksiani minnekään?
Ei. Arvot luetaan tiedostoistasi muistiin skannausta varten, eikä niitä tulosteta, kirjoiteta tai lähetetä; sormenjälkitiedosto, jos sellaisen luot, sisältää tiivisteen ja kunkin arvon ensimmäiset 4 merkkiä. Etäskannaukset lähettävät lähetettäväksi tarkoitetut tiedostot omaan koneeseesi; tämän koneen salaisuudet pysyvät siellä.
Entä väärät hälytykset?
Havainto tarkoittaa "katso tämä". Jos se on kunnossa, lisää kapea sallintosääntö tällaiselle havainnolle projektin konfiguraatioon, esimerkiksi omaan tukiosoitteeseesi. Ei ole kytkintä, jolla tarkistuksen voi kytkeä pois päältä.
Voiko se skannata git-historiani?
Ei. Se tarkistaa sen, mitä olet lähettämässä: kansion, arkiston tai seuraavan commitin. Jos salaisuus on jo historiassa, vaihda salaisuus.
Päivitetty: