Secret Gate
Gerbang rilis yang memahami rahasia Anda yang sebenarnya: tidak ada yang diluncurkan sampai tidak ditemukan apa pun.
- Linux or macOS
- Python 3.9+
- Git hooks
- CI
Fungsinya
Secret Gate menjawab satu pertanyaan sebelum apa pun keluar dari tangan Anda, entah itu zip rilis, salinan pelanggan, push open-source, atau commit berikutnya: apakah ini berisi rahasia saya? Ia tahu apa rahasia Anda, karena ia membaca file tempat rahasia itu berada, dan tidak pernah menampilkannya: temuan menyebut nama file, baris, dan asal nilai tersebut.
- Nilai persis Anda. Setiap nilai dalam file env, konfigurasi JSON dan YAML,
.netrc, dan file kunci, dicari sebagaimana ditulis, dalam bentuk base64-encoded dan URL-encoded. Kata sandi yang tampak seperti kata biasa, atau token internal tanpa awalan yang dikenal, tertangkap seperti lainnya. - Rahasia dari mesin yang tidak menjalankannya. Buat sidik jari di laptop Anda; server build menemukan nilai-nilai itu tanpa pernah memegangnya.
- Mesin lain memeriksa terhadap rahasianya sendiri. File dikirim ke setiap mesin melalui SSH, dipindai di sana, dan dihapus. Rahasia tidak pernah berpindah, dan mesin yang tidak dapat menjawab akan memblokir rilis.
- Bentuk, nama, dan derau juga. 25 format token, nama Anda, host, domain, dan id akun, alamat IP privat, alamat email pribadi, nomor telepon, IBAN, path folder home, dan string acak di samping nama-nama yang menyerupai rahasia.
- Ia membuktikan dirinya setiap saat. Setiap pemindaian dimulai dengan menanam canary dari setiap jenis; jika ada pemeriksaan yang melewatkan canary-nya, pemindaian tidak berjalan.
- Di tempat Anda sudah bekerja. Folder, arsip zip dan tar, hook git pre-commit atau pre-push, exit code untuk CI, laporan JSON.
Diuji pada apa yang kami kirim
- Setiap Paket Kit yang kami jual: 8 arsip yang dirilis dipindai terhadap 133 nilai rahasia di mesin build kami dan 16.259 sidik jari dari laptop kami. Semua lolos, dalam 5,4 detik secara keseluruhan.
- Rahasia nyata yang ditanam di salinan rilis tertangkap dalam bentuk polos dan base64-encoded, masing-masing disebut oleh file asalnya. Nilai tersebut tidak muncul di mana pun dalam output atau laporan.
- Pemindaian jarak jauh melalui SSH memeriksa rilis terhadap 499 nilai rahasia mesin kedua dalam 1,4 detik, dan menangkap token yang ditanam di salinan yang hanya ada di mesin tersebut.
Apa yang ada di dalamnya
Gerbang
Empat pemeriksaan, uji mandiri, pemindaian arsip dan git-staged, laporan yang mudah dibaca dan satu dalam format JSON.
Sidik Jari
Sidik jari rahasia satu mesin, untuk pemindaian di mesin lain, tanpa nilainya.
Pemindaian Jarak Jauh
File yang sama diperiksa di setiap mesin yang menyimpan rahasia, dengan aturan proyek Anda disertakan.
Pengaturan dan CI
Sebuah pencari untuk file rahasia Anda, git hooks, dan alur kerja GitHub Actions untuk arsip rilis.
Persyaratan
- Linux atau macOS dengan Python 3.9 atau lebih baru; tidak ada yang perlu diinstal dari pip.
- Git untuk hooks, SSH untuk pemindaian jarak jauh.
Perlu diketahui
- Ini membaca file sebagaimana adanya saat ini. Rahasia yang sudah ada dalam riwayat git Anda tetap ada di sana: rotasikan.
- Arsip di dalam folder yang dipindai tidak dibuka; pindai setiap arsip.
- Jaga file sidik jari seprivat rahasia: file tersebut menyimpan 4 karakter pertama dari setiap nilai yang panjangnya 16 karakter atau lebih.
Pertanyaan
Bagaimana bedanya dengan gitleaks atau TruffleHog?
Alat-alat tersebut mencari bentuk umum rahasia, dan mereka sangat baik dalam hal itu. Secret Gate juga mengetahui apa rahasia Anda sebenarnya: alat ini membaca file rahasia Anda sendiri dan mencari nilai-nilai persis tersebut, sehingga kata sandi basis data atau token internal tanpa bentuk yang mudah dikenali juga tertangkap. Alat ini dibangun untuk satu momen, sebelum sesuatu dikirim, dan gagal tertutup (fail closed).
Apakah alat ini mengirim rahasia saya ke mana pun?
Tidak. Nilai dibaca dari file Anda ke dalam memori untuk pemindaian dan tidak pernah dicetak, ditulis, atau dikirim; file sidik jari, jika Anda membuatnya, menyimpan hash dan 4 karakter pertama dari setiap nilai. Pemindaian jarak jauh mengirim file yang akan Anda kirim ke mesin Anda sendiri; rahasia pada mesin tersebut tetap berada di sana.
Bagaimana dengan alarm palsu?
Sebuah temuan berarti "periksa ini". Jika tidak masalah, tambahkan aturan izin yang sempit untuk jenis temuan tersebut dalam konfigurasi proyek, misalnya alamat dukungan Anda sendiri. Tidak ada sakelar yang mematikan pemeriksaan.
Apakah alat ini dapat memindai riwayat git saya?
Tidak. Alat ini memeriksa apa yang akan Anda kirim: sebuah folder, sebuah arsip, atau commit berikutnya. Untuk rahasia yang sudah ada dalam riwayat, rotasikan rahasianya.
Diperbarui: