Cod de livrare dintr-o flotă funcțională, fără a livra secretele acesteia

Livrare2026-10-29

Kiturile noastre provin din codul care rulează propria noastră flotă, unde fișierele de configurare conțin chei API, tokenuri, parole de mailbox și id-uri de cont. Un kit care scapă una dintre ele ar fi mai rău decât niciun kit, așa că nimic nu este arhivat până când trei scanere de pe trei mașini nu au găsit nimic.

Ce intră în pachet

Pachetierul copiază doar fișierele menționate în manifestul kitului, niciodată un folder întreg, și exclude cache-urile, backup-urile și istoricul de control al versiunilor. Exemplele și testele folosesc produse și cifre inventate, niciodată ale noastre.

Scanările

• Pe mașina de build: fișierele pregătite sunt căutate după valorile reale ale secretelor flotei (132 la ultimul build) și după amprentele SHA-256 ale a 16.259 de șiruri secrete din stația noastră de lucru. Doar amprentele circulă; secretele stației de lucru nu o părăsesc niciodată.
• Pe încă două mașini: aceleași fișiere sunt trimise la fiecare și scanate acolo împotriva secretelor pe care le deține mașina respectivă (498 și 129 de valori), apoi șterse.
• Peste tot: modele pentru formate de chei, adrese private și date personale.
• Înainte ca oricare dintre acestea să conteze: fiecare scaner rulează mai întâi pe canari plasați și trebuie să îi găsească pe toți, 23 per rulare, altfel build-ul se oprește.

O descoperire oprește build-ul. Odată ce o versiune a fost vândută, nu este niciodată reconstruită: o corecție este livrată ca o versiune nouă, astfel încât fișierul pe care îl descarcă un cumpărător este fișierul care a fost scanat.

Alarmele false care ne-au învățat cel mai mult

• Un comentariu care începea cu „Each pass ends with” a fost marcat ca parolă de aplicație Gmail. Aceste parole sunt patru grupuri de câte patru litere, iar și această frază este la fel. Am reformulat comentariul.
• Intervalul de adrese partajat 100.64.0.0/10, folosit de NAT carrier-grade și Tailscale, a fost marcat ca adresă privată.
• Un nume de unitate systemd precum [email protected] arăta ca o adresă de email, iar un id de magazin placeholder precum 9NXXXXXXXXXX arăta ca un produs real.

Comentariul pe care l-am reformulat; celelalte trei au fost permise pentru acel singur kit și acel singur model, niciodată global, astfel încât următorul kit este scanat la fel de strict ca primul. O alarmă falsă costă un minut, iar o cheie scăpată ar costa mult mai mult.

Fiecare kit la vânzare a trecut prin acest proces, cu zero descoperiri la fiecare lansare.