Secret Gate
Vratnica izdaje, ki pozna vaše dejanske skrivnosti: nič ne gre v produkcijo, dokler ne najde ničesar.
- Linux or macOS
- Python 3.9+
- Git hooks
- CI
Kaj počne
Secret Gate odgovori na eno vprašanje, preden karkoli zapusti vaše roke, naj gre za izdajo v obliki zip, kopijo za stranko, push v odprtokodni repozitorij ali naslednji commit: ali vsebuje mojo skrivnost? Ve, katere so vaše skrivnosti, ker prebere datoteke, kjer se nahajajo, in nobene nikoli ne prikaže: najdena skrivnost navede datoteko, vrstico in izvor vrednosti.
- Vaše točne vrednosti. Vsaka vrednost v vaših datotekah env, konfiguracijah JSON in YAML, datotekah
.netrcin ključnih datotekah, iskana kot zapisana, v base64 kodiranju in URL kodiranju. Geslo, ki je videti kot navadna beseda, ali interni žeton brez znanega predpona, je ujet kot vsak drug. - Skrivnosti z naprav, na katerih se ne izvaja. Ustvarite odtise na prenosniku; gradbeni strežnik najde te vrednosti, ne da bi jih kdajkoli imel v lasti.
- Druge naprave preverjajo glede na svoje skrivnosti. Datoteke se prek SSH prenesejo na vsako napravo, tam pregledajo in izbrišejo. Skrivnosti se nikoli ne prenesejo, naprava, ki ne more odgovoriti, blokira izdajo.
- Oblike, imena in šum tudi. 25 oblik žetonov, vaša imena, gostitelji, domene in ID-ji računov, zasebni naslovi IP, osebni e-poštni naslovi, telefonske številke, IBAN-i, poti do domačih map in naključni nizi ob imenih, ki spominjajo na skrivnosti.
- Vsakokrat dokaže samo sebe. Vsak pregled se začne z namestitvijo lažnih skrivnosti (canary) vseh vrst; če katerikoli preverjanje zgreši svojo lažno skrivnost, se pregled ne izvede.
- Kjer že delate. Mape, arhivi zip in tar, pred-commit ali pred-push kljukica v git-u, izhodne kode za CI, poročilo JSON.
Preizkušeno na tem, kar pošiljamo
- Vsak komplet, ki ga prodajamo: 8 izdanih arhivov pregledanih glede na 133 skrivnih vrednosti na našem gradbenem stroju in 16.259 odtisov z našega prenosnika. Vsi so uspeli, skupaj v 5,4 sekunde.
- Prava skrivnost, nameščena v izvod izdaje, je bila ujeta v navadni in base64 kodirani obliki, vsakič imenovana po datoteki, iz katere je prihajala. Vrednost se ni pojavila nikoli v izhodu ali poročilu.
- Daljinski pregled prek SSH je preveril izdajo glede na 499 skrivnih vrednosti na drugi napravi v 1,4 sekunde in ujel žeton, nameščen v izvodu, ki je obstajal samo na tej napravi.
Kaj je vključeno
Vrata
Štiri preverjanja, samopregled, pregled arhivov in datotek pripravljenih v git-u, berljivo poročilo in poročilo JSON.
Odtisi
Odtisi skrivnosti ene naprave za pregled na drugi, brez vrednosti.
Oddaljeni pregledi
Iste datoteke preverjene na vsakem računalniku, ki hrani skrivnosti, skupaj s pravili vašega projekta.
Nastavitev in CI
Iskalnik za vaše datoteke s skrivnostmi, git kljuke in GitHub Actions delovni tok za arhive izdaj.
Zahteve
- Linux ali macOS s Pythonom 3.9 ali novejšim; ni potrebe po namestitvi prek pip.
- Git za kljuke, SSH za oddaljene preglede.
Dobro vedeti
- Bere datoteke, kot so trenutno. Skrivnost, ki je že v vaši git zgodovini, tam ostane: zamenjajte jo.
- Arhivi v pregledani mapi se ne odprejo; pregledajte vsak arhiv posebej.
- Datoteke z otiski prstov hranite tako zasebno kot skrivnosti: vsebujejo prvih 4 znake vsake vrednosti, ki ima 16 znakov ali več.
Vprašanja
Kaj ga razlikuje od gitleaks ali TruffleHog?
Ta orodja iščejo, kako skrivnosti običajno izgledajo, in so pri tem dobra. Secret Gate pozna tudi vaše dejanske skrivnosti: bere vaše lastne datoteke s skrivnostmi in išče te točne vrednosti, zato ujame tudi geslo baze podatkov ali interni žeton brez prepoznavne oblike. Zgrajen je za en trenutek, preden se nekaj objavi, in ob napaki se zapre.
Ali kamorkoli pošilja moje skrivnosti?
Ne. Vrednosti se berejo iz vaših datotek v pomnilnik za pregled in se nikoli ne izpišejo, zapišejo ali pošljejo; datoteka z otiski prstov, če jo ustvarite, vsebuje zgoščeno vrednost in prvih 4 znake vsake. Oddaljeni pregledi pošljejo datoteke, ki jih boste objavili, na vaš lasten računalnik; skrivnosti tega računalnika ostanejo na njem.
Kaj pa lažni alarmi?
Zaznava pomeni "poglej to". Če je vse v redu, dodajte ozko pravilo za dovolitev za to vrsto zaznave v konfiguraciji projekta, na primer vaš podporni naslov. Ne obstaja stikalo, ki bi izklopilo preverjanje.
Ali lahko pregleda mojo git zgodovino?
Ne. Preverja, kaj boste objavili: mapo, arhiv ali naslednjo predložitev. Za skrivnost, ki je že v zgodovini, zamenjajte skrivnost.
Posodobljeno: