Gửi mã từ một hạm đội đang hoạt động mà không gửi kèm các bí mật của nó

Vận chuyển2026-10-29

Các bộ công cụ của chúng tôi được lấy từ mã nguồn vận hành hạm đội riêng của chúng tôi, nơi các tệp cấu hình chứa khóa API, token, mật khẩu hộp thư và id tài khoản. Một bộ công cụ bị rò rỉ một trong những thứ đó còn tệ hơn là không có bộ công cụ nào, vì vậy không có gì được nén cho đến khi ba trình quét trên ba máy không tìm thấy gì.

Những gì được đưa vào

Trình đóng gói chỉ sao chép các tệp mà manifest của bộ công cụ chỉ định, không bao gồm toàn bộ thư mục, và loại bỏ bộ nhớ đệm, bản sao lưu và lịch sử quản lý phiên bản. Các ví dụ và bài kiểm tra sử dụng sản phẩm và số liệu giả định, không phải của chúng tôi.

Các lần quét

• Trên máy xây dựng: các tệp đã được chuẩn bị được tìm kiếm các giá trị thực tế của các bí mật trong hạm đội (132 ở lần xây dựng gần nhất) và các dấu vết SHA-256 của 16.259 chuỗi bí mật từ máy trạm của chúng tôi. Chỉ các dấu vết được truyền đi; các bí mật của máy trạm không bao giờ rời khỏi nó.
• Trên hai máy khác: các tệp tương tự được gửi đến từng máy và được tìm kiếm ở đó so với các bí mật mà máy đó lưu giữ (498 và 129 giá trị), sau đó bị xóa.
• Ở mọi nơi: các mẫu cho định dạng khóa, địa chỉ riêng tư và dữ liệu cá nhân.
• Trước khi bất kỳ điều nào có giá trị: mỗi trình quét trước tiên chạy trên các chim hoàng yến được cài đặt sẵn và phải tìm thấy tất cả chúng, 23 mỗi lần chạy, nếu không quá trình xây dựng sẽ dừng lại.

Một phát hiện sẽ dừng quá trình xây dựng. Khi một phiên bản đã được bán, nó không bao giờ được xây dựng lại: một bản sửa lỗi được phát hành dưới dạng phiên bản mới, vì vậy tệp mà người mua tải xuống chính là tệp đã được quét.

Những cảnh báo giả đã dạy chúng tôi nhiều nhất

• Một bình luận bắt đầu bằng "Mỗi lượt kết thúc bằng" bị đánh dấu là mật khẩu ứng dụng Gmail. Những mật khẩu đó gồm bốn nhóm bốn chữ cái, và cụm từ đó cũng vậy. Chúng tôi đã viết lại bình luận.
• Dải địa chỉ dùng chung 100.64.0.0/10, được sử dụng bởi NAT cấp nhà mạng và Tailscale, bị đánh dấu là địa chỉ riêng tư.
• Một tên đơn vị systemd như [email protected] trông giống một địa chỉ email, và một id cửa hàng giữ chỗ như 9NXXXXXXXXXX trông giống một sản phẩm thật.

Bình luận mà chúng tôi đã viết lại; ba trường hợp còn lại được cho phép cho bộ công cụ đó và mẫu đó, không bao giờ áp dụng toàn cục, vì vậy bộ công cụ tiếp theo được quét nghiêm ngặt như bộ đầu tiên. Một cảnh báo giả tốn một phút, và một khóa bị bỏ sót sẽ tốn kém hơn nhiều.

Mỗi bộ công cụ đang bán đều trải qua quy trình này, với không có phát hiện nào ở mỗi lần phát hành.