Secret Gate

O que ele faz

O Secret Gate responde a uma pergunta antes de qualquer coisa sair das suas mãos, seja um zip de release, uma cópia para o cliente, um push open-source ou o próximo commit: isto contém algum segredo meu? Ele sabe quais são os seus segredos, porque lê os ficheiros onde eles residem, e nunca mostra um: uma deteção indica o ficheiro, a linha e a origem do valor.

• Os seus valores exatos. Todos os valores nos seus ficheiros env, configurações JSON e YAML, ficheiros .netrc e de chaves, procurados como escritos, codificados em base64 e em URL. Uma palavra-passe que parece uma palavra comum, ou um token interno sem prefixo conhecido, é apanhada como qualquer outra.
• Segredos de máquinas onde não corre. Crie impressões digitais no seu portátil; o servidor de build encontra esses valores sem nunca os ter em mãos.
• Outras máquinas verificam contra os seus próprios segredos. Os ficheiros vão para cada máquina via SSH, são escaneados lá e apagados. Os segredos nunca se movem, e uma máquina que não consiga responder bloqueia o release.
• Formas, nomes e ruído também. 25 formatos de token, os seus nomes, hosts, domínios e IDs de conta, endereços IP privados, endereços de e-mail pessoais, números de telefone, IBANs, caminhos de pastas pessoais e strings aleatórias junto a nomes com ar de segredo.
• Prova-se a si próprio sempre. Cada scan começa por plantar canários de todos os tipos; se alguma verificação falhar o seu canário, o scan não corre.
• Onde você já trabalha. Pastas, arquivos zip e tar, um hook git pre-commit ou pre-push, códigos de saída para CI, um relatório JSON.

Testado no que enviamos

• Todos os kits que vendemos: os 8 arquivos lançados escaneados contra os 133 valores de segredo na nossa máquina de build e 16.259 impressões digitais do nosso portátil. Todos passaram, em 5,4 segundos no total.
• Um segredo real plantado numa cópia de release foi apanhado em texto simples e codificado em base64, sendo sempre identificado pelo ficheiro de origem. O valor não apareceu em nenhum lugar na saída ou no relatório.
• Um scan remoto via SSH verificou um release contra os 499 valores de segredo de uma segunda máquina em 1,4 segundos, e apanhou um token plantado numa cópia que existia apenas nessa máquina.

O que está incluído