Secret Gate
Cufaa gadi-dhiisaa sirrii iccitii keessan beeku: homaa hin ergamu hanga homaa hin arganneetti.
- Linux or macOS
- Python 3.9+
- Git hooks
- CI
Maal hojjeta
Secret Gate gaaffii tokko qofa dura wanti harka kee irraa ba'uuf deebisa, yoo zip release ta'e, yoo koppii maamila ta'e, yoo push open-source ta'e, yookiin yoo commit itti aanu ta'e: kun sirrii koo of keessaa qaba? Sirriiwwan kee maali akka ta'an ni beeka, sababni isaas bakka sirriiwwan sun jiranitti faayiliiwwan ni dubbisa, tokko illee hin agarsiisu: argannoon faayilii, tarree (line), fi gatii sun irraa dhufe eessa akka ta'e ni ibsa.
- Gatiiwwan kee sirrii ta'an. Gatiiwwan hundi faayiliiwwan env, JSON fi YAML configs,
.netrcfi faayiliiwwan furtuu keessatti argaman, akkuma barreeffaman, base64-encoded fi URL-encoded ta'anii ni barbaadamu. Jecha darbuu (password) jecha idilee fakkaatu, yookiin token keessoo (internal token) prefix beekamaa hin qabne, akka kan biroo ni argama. - Sirriiwwan meeshaalee irratti hin hojjetne irraa dhufan. Meeshaalee (fingerprints) laptop kee irratti hojjedhu; server hojii (build server) gatiiwwan sun argata malee isaanii hin qabu.
- Meeshaaleen biroo sirriiwwan isaanii waliin ni madaalu. Faayiliiwwan SSH'n gara meeshaa tokkoon tokkotti ergamu, achitti ni qoratamu, ni balleessamu. Sirriiwwan hin socho'an, meeshaan deebisuu hin dandeenye release ni dhaaba.
- Bifa, maqaa fi sagalee (noise) illee. Bifa token 25, maqawwan kee, hosts, domains fi account ids, adireesota IP dhuunfaa, adireesota email dhuunfaa, lakkoofsota bilbilaa, IBANs, karoora (paths) folder manaa, fi jechoota salphaa (random strings) maqawwan sirrii fakkaatan waliin.
- Yeroo hundaa of mirkaneessa. Qorannoon tokko tokko jalqaba canaries gosa hundaan ni dhaaba; yoo check tokko canary isaa dhabde, qorannoon hin hojjetu.
- Bakka itti hojjettu kee. Folders, zip fi tar archives, git pre-commit yookiin pre-push hook, exit codes CI, fi gabaasa JSON.
Kan nuti gurgurru irratti qoratame
- Kiidiiwwan hunda nuti gurgurru: archivewwan 8 kan gurguraman, gatiiwwan sirrii 133 build machine keenya irratti argaman fi fingerprints 16,259 laptop keenya irraa dhufan waliin ni qorataman. Hundin isaanii darban, walumaagalatti sekoondii 5.4 keessatti.
- Sirrii dhugaan koppii release keessatti dhaabame akkuma barreeffame fi base64-encoded ta'ee ni argame, yeroo hundaa faayilii irraa dhufe kanatti ni ibsama. Gatiin sun gabaasa keessatti yookiin output keessatti hin mul'anne.
- Qorannoo remote SSH'n release tokko meeshaa lammaffaa gatiiwwan sirrii 499 waliin sekoondii 1.4 keessatti ni madaale, token koppii meeshaa sun irratti qofa jiru keessatti dhaabame ni argate.
Keessatti maaltu jira
Gate
Checkwwan afur, of-qorannoo (self-test), qorannoo archive fi git-staged, gabaasa dubbisamuu danda'u fi gabaasa JSON tokko.
Fingerprints
Fingerprints sirriiwwan meeshaa tokkoo, qorannoo meeshaa biraa irratti gatiiwwan malee.
Saaxilawwan fageenya irraa
Sagantaa hojii kee waliin, sirriitti qorannoo qabiyyee iccitii qaban irratti kan raawwatamu.
Qindaa'ina fi CI
Barbaaduu qabiyyee iccitii kee, git hooks, fi hojii GitHub Actions kan galmee gurgurtaa (release archives) fakkisu.
Dirqamoota
- Linux yookaan macOS kan Python 3.9 yookaan isaa ol qabu; pip irraa waan hin fe'anne.
- Git hooks fannaa, SSH saaxilawwan fageenya irraa fannaa.
Beekuu qabdu
- Qabiyyee akka ammaa jiruttu dubbisa. Iccitiin git history keessa jiru sun achumaatti hafa: jijjiiri.
- Archives folder saaxilame keessa jiran hin banaman; archive tokko tokko saaxili.
- Qabiyyee fingerprint iccitii waliin qulqulluu ta'uu qaba: qabiyyee 16 yookaan isaa ol ta'e keessaa qabxii 4 jalqabaa qaba.
From our field notes
Gaaffiiwwan
Kun gitleaks yookaan TruffleHog irraa adda isaa maali?
Kunniin iccitii akkamitti akka mul'atan ilaalu, fi gaarii ta'aniiru. Secret Gate iccitii kee akkamitti akka ta'anis beeka: qabiyyee iccitii kee ofii dubbisa, qabiyyee sunniin ilaala; kanaafuu jecha darbuu daataabesii yookaan token keessoo (internal token) bakka beekamaa hin qabnees argata. Yeroo tokkoof, waan gurguramu duratti, kan hojjetu yoo ta'u, yoo hin beekne cufee dhiisa (fails closed).
Iccitii koo bakka biraa erga?
Laakka. Qabiyyee qabiyyee kee irraa gara memory-tti saaxilamaaf dubbifama, hin barramu, hin ergamu; yoo qabiyyee fingerprint uumte, hash fi qabxii 4 jalqabaa qabiyyee tokkoo tokkoo qaba. Saaxilawwan fageenya irraa qabiyyee gurguruuf jirtu gara meeshaa kee ofiitti ergu; iccitii meeshaa sunii achuma irratti hafa.
Waa'ee ibsa dogoggoraa (false alarms) maali?
Argannoon "kan ilaali" jechuudha. Yoo gaarii ta'e, seera hayyamaa (allow rule) kan qabiyyee suniif qofa ta'u qindaa'ina pirojektii keessatti dabaluu, fakkeenyaaf adiresii gargaarsa kee ofii. Check tokko cufuuf switch hin jiru.
Git history koo saaxiluu danda'a?
Laakka. Waan gurguruuf jirtu qofa qora: folder, archive, yookaan commit itti aanu. Iccitiin history keessa jiruuf, iccitii sun jijjiiri.
Haaromfame: