Kód na distribúciu z funkčnej flotily bez odhalenia jej tajných údajov

Doručenie2026-10-29

Naše balíky vychádzajú z kódu, ktorý poháňa našu vlastnú flotilu, kde konfiguračné súbory obsahujú kľúče API, tokeny, heslá k poštovým schránkam a ID účtov. Balík, ktorý by unikol jeden z nich, by bol horší ako žiadny balík, preto sa nič nebalí do archívu, kým tri skenery na troch strojoch nenájdu nič.

Čo sa tam dostane

Balíkovací nástroj kopíruje iba súbory uvedené v manifeste balíka, nikdy celý priečinok, a vynecháva cache, zálohy a históriu správy verzií. Príklady a testy používajú vymyslené produkty a čísla, nikdy naše.

Skenovania

• Na buildovom stroji: v pripravených súboroch sa hľadajú skutočné hodnoty tajných údajov flotily (132 pri poslednom buildu) a odtlačky SHA-256 pre 16 259 tajných reťazcov z nášho pracovného stroja. Prenášajú sa iba odtlačky; tajné údaje pracovného stroja z neho nikdy neuniknú.
• Na dvoch ďalších strojoch: rovnaké súbory sa odošlú na každý z nich a prehľadajú sa tam podľa tajných údajov, ktoré daný stroj drží (498 a 129 hodnôt), následne sa odstránia.
• Všade: vzory pre formáty kľúčov, súkromné adresy a osobné údaje.
• Predtým, než sa niečo započíta: každý skener najprv prebehne na nastražených kanároch a musí nájsť všetky, 23 pri každom behu, inak sa build zastaví.

Nález zastaví build. Keď sa verzia raz predá, nikdy sa znovu nebuildí: oprava sa dodáva ako nová verzia, takže súbor, ktorý kupujúci stiahne, je ten istý súbor, ktorý bol skontrolovaný.

Falošné poplachy, ktoré nás najviac naučili

• Komentár začínajúci „Každý priechod končí s“ bol označený ako heslo aplikácie Gmail. Tieto heslá pozostávajú zo štyroch skupín po štyri písmená, a to isté platí pre túto frázu. Komentár sme preformulovali.
• Zdieľaný rozsah adries 100.64.0.0/10, ktorý používa carrier-grade NAT a Tailscale, bol označený ako súkromná adresa.
• Názov jednotky systemd ako [email protected] vyzeral ako e-mailová adresa a zástupné ID obchodu ako 9NXXXXXXXXXX vyzeralo ako skutočný produkt.

Preformulovaný komentár; ostatné tri boli povolené pre ten jeden balík a ten jeden vzor, nikdy globálne, takže ďalší balík sa skenuje tak prísne ako prvý. Falošný poplach stojí minútu a uniknutý kľúč by stál oveľa viac.

Každý balík v predaji týmto prešiel s nulovým nálezom pri každom vydaní.