Çalışan bir filonun kodunu, sırlarını göndermeden sevk etmek

Teslimat2026-10-29

Paketlerimiz, kendi filomuzda çalışan kodlardan gelir; bu kodlarda yapılandırma dosyaları API anahtarlarını, tokenları, posta kutusu şifrelerini ve hesap kimliklerini barındırır. Bunlardan birini sızdıran bir paket, hiç paketi olmamasından daha kötü olur; bu yüzden üç makinedeki üç tarayıcı hiçbir şey bulmadan hiçbir şey sıkıştırılmaz.

İçine ne girer

Paketleyici, yalnızca bir paketin manifestosunda adı geçen dosyaları kopyalar, asla tüm bir klasörü kopyalamaz; önbellekleri, yedekleri ve sürüm geçmişi kayıtlarını hariç tutar. Örnekler ve testler uydurma ürünler ve rakamlar kullanır, asla bizimkileri değil.

Taramalar

• Derleme makinesinde: Aşamalı dosyalar, filonun gerçek sır değerleri (son derlemede 132 adet) ve iş istasyonumuzdaki 16.259 sır dizesinin SHA-256 parmak izleri açısından aranır. Yalnızca parmak izleri taşınır; iş istasyonunun sırları oradan asla çıkmaz.
• İki makinede daha: Aynı dosyalar her birine gönderilir ve o makinede bulunan sırlara (498 ve 129 değer) karşı aranır, ardından silinir.
• Her yerde: Anahtar formatları, özel adresler ve kişisel veriler için desenler.
• Bunlardan hiçbiri hesaba katılmadan önce: Her tarayıcı önce yerleştirilmiş muhabber kuşları üzerinde çalışır ve her çalıştırmada 23 tanesinin tamamını bulmalıdır, aksi halde derleme durur.

Bir bulgu derlemeyi durdurur. Bir sürüm bir kez satıldıktan sonra asla yeniden derlenmez: bir düzeltme yeni bir sürüm olarak sevk edilir, dolayısıyla alıcının indirdiği dosya, taranmış olan dosyadır.

Bize en çok şey öğreten yanlış alarmlar

• "Her geçiş şu şekilde biter" ile başlayan bir yorum, bir Gmail uygulama şifresi olarak işaretlendi. Bu şifreler dört harften oluşan dört gruptur ve bu ifade de öyledir. Yorumu yeniden ifade ettik.
• Taşıyıcı sınıfı NAT ve Tailscale'in kullandığı 100.64.0.0/10 paylaşılan adres aralığı, özel bir adres olarak işaretlendi.
• [email protected] gibi bir systemd birim adı bir e-posta adresine, 9NXXXXXXXXXX gibi bir yer tutucu mağaza kimliği ise gerçek bir ürüne benziyordu.

Yeniden ifade ettiğimiz yorum; diğer üçü yalnızca o paket ve o desen için, asla küresel olarak kabul edildi, böylece bir sonraki paket ilki kadar katı bir şekilde taranır. Bir yanlış alarm bir dakikaya mal olur, kaçırılan bir anahtar ise çok daha fazlasına mal olurdu.

Satıştaki her paket, her sürümde sıfır bulguyla bu süreçten geçti.