Koda iz delujoče flote brez razkritja njenih skrivnosti

Pošiljanje2026-10-29

Naši kompleti izvirajo iz kode, ki poganja našo lastno floto, kjer konfiguracijske datoteke vsebujejo ključe API, žetone, gesla za nabiralnike in ID-je računov. Komplet, ki bi razkril eno od njih, bi bil slabši od nobenega kompleta, zato se nič ne zapakira v ZIP, dokler trije skenerji na treh napravah ne najdejo ničesar.

Kaj gre noter

Pakirnik kopira samo datoteke, ki jih navaja manifest kompleta, nikoli celotne mape, ter izpusti predpomnilnike, varnostne kopije in zgodovino nadzora različic. Primeri in testi uporabljajo izmišljene izdelke in številke, nikoli naše.

Pregledi

• Na gradbenem računalniku: pripravljenim datotekam se iščejo dejanske vrednosti skrivnosti flote (132 pri zadnji gradnji) in prstni odtisi SHA-256 za 16.259 nizov skrivnosti z naše delovne postaje. Potujejo samo prstni odtisi; skrivnosti delovne postaje nikoli ne zapustijo naprave.
• Na dveh dodatnih napravah: iste datoteke se pošljejo na vsako od njih in tam preiščejo glede na skrivnosti, ki jih naprava hrani (498 in 129 vrednosti), nato se izbrišejo.
• Povsod: vzorci za formate ključev, zasebne naslove in osebne podatke.
• Preden se karkoli šteje: vsak skener najprej teče na nameščenih lažnih ciljih (canaries) in mora najti vse, 23 na zagon, sicer se gradnja ustavi.

Najdena skrivnost ustavi gradnjo. Ko je različica enkrat prodana, se nikoli ne gradi znova: popravek se dostavi kot nova različica, zato je datoteka, ki jo kupec prenese, enaka datoteki, ki je bila pregledana.

Lažni alarmi, ki so nas največ naučili

• Komentar, ki se je začel z "Each pass ends with", je bil označen kot geslo aplikacije Gmail. Ta gesla so štiri skupine po štiri črke, enako velja za to frazo. Komentar smo preoblikovali.
• Skupni naslovni razpon 100.64.0.0/10, ki ga uporabljata carrier-grade NAT in Tailscale, je bil označen kot zaseben naslov.
• Ime enote systemd, kot je [email protected], je bilo videti kot e-poštni naslov, rezervirani ID trgovine, kot je 9NXXXXXXXXXX, pa kot resničen izdelek.

Komentar, ki smo ga preoblikovali; ostali trije so bili dovoljeni samo za ta en komplet in ta en vzorec, nikoli globalno, zato je naslednji komplet pregledan enako strogo kot prvi. Lažni alarm stane minuto, izpuščena skrivnost pa bi stala veliko več.

Vsak komplet v prodaji je šel skozi ta postopek z nič najdenimi skrivnostmi pri vsaki izdaji.