Secret Gate

Что он делает

Secret Gate отвечает на один вопрос до того, как что-либо покинет ваши руки — будь то релизный архив, копия для клиента, пуш в открытый исходный код или следующий коммит: есть ли здесь мой секрет? Он знает, какие у вас секреты, потому что читает файлы, где они хранятся, и никогда их не показывает: найденное указывает файл, строку и источник значения.

• Ваши точные значения. Каждое значение из ваших env-файлов, конфигураций JSON и YAML, файлов .netrc и ключей ищется в виде, как записано, в base64-кодировке и URL-кодировке. Пароль, похожий на обычное слово, или внутренний токен без известного префикса обнаруживается так же, как и любой другой.
• Секреты с машин, на которых он не работает. Создайте отпечатки на ноутбуке; сборочный сервер найдет эти значения, не храня их у себя.
• Другие машины проверяются по своим секретам. Файлы передаются на каждую машину по SSH, сканируются там и удаляются. Секреты не перемещаются, а машина, не давшая ответа, блокирует релиз.
• Формы, имена и шум тоже. 25 форматов токенов, ваши имена, хосты, домены и идентификаторы аккаунтов, частные IP-адреса, личные адреса электронной почты, номера телефонов, IBAN, пути к домашним папкам и случайные строки рядом с именами, похожими на секретные.
• Он доказывает свою работоспособность каждый раз. Каждое сканирование начинается с размещения канареек всех типов; если какая-либо проверка не находит свою канарейку, сканирование не запускается.
• Там, где вы уже работаете. Папки, архивы zip и tar, хуки git pre-commit или pre-push, коды выхода для CI, отчет в формате JSON.

Протестировано на том, что мы поставляем

• Каждый набор, который мы продаем: 8 выпущенных архивов проверены по 133 секретным значениям на нашей сборочной машине и 16 259 отпечаткам с нашего ноутбука. Все прошли проверку за 5,4 секунды суммарно.
• Реальный секрет, внедренный в копию релиза, был обнаружен в открытом виде и в base64-кодировке, каждый раз с указанием файла-источника. Значение нигде не появилось в выводе или отчете.
• Удаленное сканирование по SSH проверило релиз по 499 секретным значениям на второй машине за 1,4 секунды и обнаружило токен, внедренный в копию, которая существовала только на этой машине.

Что внутри