Աշխատող ֆլիտից առաքման կոդ՝ առանց իր գաղտնիքները առաքելու
Առաքում
Մեր հավաքածուները ստացվում են այն կոդից, որը վարում է մեր սեփական ֆլիտը, որտեղ կոնֆիգուրացիոն ֆայլերը պարունակում են API բանալիներ, տոկեններ, փոստի արկղերի գաղտնաբառեր և հաշիվների id-ներ։ Հավաքածու, որը կհոսեցնի դրանցից մեկը, ավելի վատ կլինի, քան ոչ մի հավաքածու, ուստի ոչինչ չի սեղմվում մինչև երեք մեքենաների վրա գտնվող երեք սկաներները ոչինչ չգտնեն։
Ինչ է մտնում
Փաթեթավորողը պատճենում է միայն այն ֆայլերը, որոնք նշված են հավաքածուի մանիֆեստում, երբեք ամբողջ թղթապանակ, և բաց է թողնում քեշերը, պահուստային պատճենները և վարսիոն վերահսկողության պատմությունը։ Օրինակներն ու թեստերը օգտագործում են երևակայական ապրանքներ և թվեր, երբեք մերը։
Սկանավորումները
- Կառուցման մեքենայի վրա. փուլային ֆայլերը փնտրվում են ֆլիտի գաղտնիքների իրական արժեքների (132-ը վերջին կառուցման ժամանակ) և մեր աշխատանքային կայանքի 16,259 գաղտնի տողերի SHA-256 մատնահետքերի համար։ Միայն մատնահետքերն են ուղարկվում. աշխատանքային կայանքի գաղտնիքները երբեք չեն լքում այն։
- Երկու այլ մեքենաների վրա. նույն ֆայլերը ուղարկվում են յուրաքանչյուրին և փնտրվում են այնտեղ՝ այդ մեքենայի տիրապետած գաղտնիքների (498 և 129 արժեք) համար, ապա ջնջվում։
- Ամենուր. բանալիների ձևաչափերի, մասնավոր հասցեների և անձնական տվյալների նմուշներ։
- Նախքան դրանցից որևէ մեկը հաշվի առնվելը. յուրաքանչյուր սկաներ նախ աշխատում է տեղադրված կանարների վրա և պետք է գտնի դրանցից բոլորը, 23-ը յուրաքանչյուր գործարկման ժամանակ, հակառակ դեպքում կառուցումը կանգ է առնում։
Գտնվածը կանգնեցնում է կառուցումը։ Մի անգամ վաճառված տարբերակը երբեք վերակառուցվում է. ուղղումը առաքվում է որպես նոր տարբերակ, ուստի գնորդի ներբեռնած ֆայլը այն ֆայլն է, որը սկանավորվել է։
Կեղծ ահազանգերը, որոնք մեզ ամենից շատ սովորեցրին
- «Յուրաքանչյուր անցում ավարտվում է» բառերով սկսվող մեկնաբանությունը նշվեց որպես Gmail հավելվածի գաղտնաբառ։ Այդ գաղտնաբառերը քառատառ չորս խմբեր են, և այդ արտահայտությունը նույնպես։ Մենք վերաձևակերպեցինք մեկնաբանությունը։
- 100.64.0.0/10 ընդհանուր հասցեների միջակայքը, որն օգտագործում են carrier-grade NAT-ը և Tailscale-ը, նշվեց որպես մասնավոր հասցե։
- systemd միավորի անունը, ինչպիսին է
[email protected]-ը, նման էր էլեկտրոնային փոստի հասցեի, և9NXXXXXXXXXXտեղապահի նման խանութի id-ն նման էր իրական ապրանքի։
Մեկնաբանությունը, որը մենք վերաձևակերպեցինք. մյուս երեքը թույլատրվեցին այդ մեկ հավաքածուի և այդ մեկ նմուշի համար, երբեք գլոբալ, ուստի հաջորդ հավաքածուն սկանավորվում է նույնքան խիստ, որքան առաջինը։ Կեղծ ահազանգն արժե մեկ րոպե, իսկ բաց թողնված բանալին կարող է ավելի շատ արժենալ։
Յուրաքանչյուր հավաքածու վաճառքում անցել է դրա միջով՝ յուրաքանչյուր թողարկման ժամանակ զրո գտնվածքով։