Secret Gate

機能

Secret Gateは、リリース用zip、顧客向けのコピー、オープンソースへのプッシュ、次のコミットなど、あなたの元を離れるものすべてに対して、最初にたった一つの質問に答えます。『これは私の秘密情報を含んでいないか？』。秘密情報がどこにあるかを示すファイルを読み込むため、何が秘密情報かを知っています。そして、秘密情報を一度も表示しません。検出結果には、ファイル名、行番号、値の出所のみが示されます。

• 正確な値。envファイル、JSONおよびYAML設定、.netrc、キーファイル内のすべての値を、そのままの表記、Base64エンコード、URLエンコードの状態で検索します。一般的な単語に見えるパスワードや、既知のプレフィックスを持たない内部トークンも、他の秘密情報と同様に検出されます。
• 稼働マシン以外のマシンにある秘密情報。ノートPCで指紋を作成します。ビルドサーバーは、実際の値を保持することなく、それらの値を検出します。
• 他のマシンは自身の秘密情報と照合します。ファイルはSSH経由で各マシンに送られ、そこでスキャンされた後、削除されます。秘密情報は移動せず、応答できないマシンがあればリリースがブロックされます。
• 形状、名前、ノイズも。25種類のトークン形式、あなたの名前、ホスト、ドメイン、アカウントID、プライベートIPアドレス、個人メールアドレス、電話番号、IBAN、ホームフォルダのパス、そして秘密情報らしき名前の隣にあるランダムな文字列。
• 毎回、自らを検証します。各スキャンの開始時に、あらゆる種類のカナリアを仕込みます。もしどのチェックでもカナリアを検出できなかった場合、スキャンは実行されません。
• すでに作業している場所で。フォルダ、zipおよびtarアーカイブ、gitのpre-commitまたはpre-pushフック、CI用の終了コード、JSONレポート。

出荷前にテスト済み

• 販売中のすべてのキット：リリース済みの8つのアーカイブを、ビルドマシン上の133個の秘密情報値と、ノートPCからの16,259個の指紋に対してスキャンしました。すべて合格し、合計5.4秒で完了しました。
• リリースのコピーに仕込んだ実際の秘密情報は、そのままの状態でもBase64エンコードの状態でも検出され、毎回、元のファイル名が特定されました。値は出力にもレポートにも一切現れませんでした。
• SSH経由のリモートスキャンは、リリースをセカンドマシンの499個の秘密情報値に対して1.4秒でチェックし、そのマシン上にのみ存在するコピーに仕込まれたトークンを検出しました。

中身