Leveranskod från en fungerande fordonsflotta utan att skicka med dess hemligheter

Leverans2026-10-29

Våra verktygspaket kommer från kod som driver vår egen fordonsflotta, där konfigurationsfiler innehåller API-nycklar, tokens, lösenord för e-postkonton och kontoids. Ett verktygspaket som läcker en av dem vore värre än inget verktygspaket alls, så inget packas förrän tre skannrar på tre maskiner har hittat ingenting.

Vad som ingår

Packaren kopierar bara de filer som verktygspaketets manifest namnger, aldrig en hel mapp, och utelämnar cache, säkerhetskopior och versionshanteringshistorik. Exempel och tester använder påhittade produkter och siffror, aldrig våra egna.

Skanningarna

• På byggmaskinen: de förberedda filerna söks igenom efter de faktiska värdena för flottans hemligheter (132 vid senaste bygget) och efter SHA-256-fingeravtryck för 16 259 hemliga strängar från vår arbetsstation. Endast fingeravtrycken skickas över; arbetsstationens hemligheter lämnar den aldrig.
• På två ytterligare maskiner: samma filer skickas till varje maskin och söks igenom där mot de hemligheter som maskinen innehåller (498 respektive 129 värden), för att sedan raderas.
• Överallt: mönster för nyckelformat, privata adresser och personuppgifter.
• Innan något av detta räknas: varje skanner körs först på utlagda lockbeten och måste hitta alla av dem, 23 per körning, annars stoppas bygget.

Ett fynd stoppar bygget. När en version väl har sålts byggs den aldrig om igen: en korrigering levereras som en ny version, så filen en köpare laddar ner är exakt den fil som skannades.

De falska larmen som lärde oss mest

• En kommentar som började med "Each pass ends with" flaggades som ett Gmail-app-lösenord. Dessa lösenord består av fyra grupper om fyra bokstäver, och det gör även den frasen. Vi omformulerade kommentaren.
• Det delade adressintervallet 100.64.0.0/10, som carrier-grade NAT och Tailscale använder, flaggades som en privat adress.
• Ett systemd-enhetsnamn som [email protected] såg ut som en e-postadress, och en platshållar-id för en butik som 9NXXXXXXXXXX såg ut som en riktig produkt.

Kommentaren vi omformulerade; de övriga tre tilläts för just det verktygspaketet och just det mönstret, aldrig globalt, så nästa verktygspaket skannas lika strikt som det första. Ett falskt larm kostar en minut, och en missad nyckel skulle kosta mycket mer.

Varje verktygspaket till salu har genomgått detta, med noll fynd vid varje releas.