प्रभाव
API कुंजियाँ, टोकन, या क्रेडेंशियल जैसे रहस्य लीक होने से संवेदनशील डेटा तक अनधिकृत पहुंच, सेवा प्रतिरूपण और संसाधन दुरुपयोग के कारण महत्वपूर्ण वित्तीय हानि हो सकती है। एक बार जब कोई रहस्य किसी सार्वजनिक भंडार के लिए प्रतिबद्ध हो जाता है या फ्रंटएंड एप्लिकेशन में बंडल हो जाता है, तो इसे समझौता [S1] माना जाना चाहिए।
मूल कारण
मूल कारण संवेदनशील क्रेडेंशियल्स को सीधे स्रोत कोड या कॉन्फ़िगरेशन फ़ाइलों में शामिल करना है जो बाद में संस्करण नियंत्रण के लिए प्रतिबद्ध हैं या क्लाइंट [S1] को प्रदान किए जाते हैं। डेवलपर्स अक्सर विकास के दौरान सुविधा के लिए हार्ड-कोड कुंजियाँ देते हैं या गलती से अपने कमिट [S1] में .env फ़ाइलें शामिल कर लेते हैं।
ठोस सुधार
- समझौता किए गए रहस्यों को घुमाएं: यदि कोई रहस्य लीक हो जाता है, तो उसे तुरंत रद्द कर दिया जाना चाहिए और बदल दिया जाना चाहिए। कोड के वर्तमान संस्करण से केवल रहस्य हटाना अपर्याप्त है क्योंकि यह संस्करण नियंत्रण इतिहास [S1][S2] में रहता है।
- पर्यावरण चर का उपयोग करें: रहस्यों को हार्ड-कोडिंग के बजाय पर्यावरण चर में संग्रहीत करें। सुनिश्चित करें कि [S1] की आकस्मिक प्रतिबद्धताओं को रोकने के लिए
.envफ़ाइलें.gitignoreमें जोड़ी गई हैं। - गुप्त प्रबंधन लागू करें: रनटाइम [S1] पर एप्लिकेशन वातावरण में क्रेडेंशियल्स इंजेक्ट करने के लिए समर्पित गुप्त प्रबंधन टूल या वॉल्ट सेवाओं का उपयोग करें।
- रिपॉजिटरी हिस्ट्री को पर्ज करें: यदि कोई रहस्य Git के लिए प्रतिबद्ध था, तो रिपॉजिटरी हिस्ट्री ZXCVFIXVIBTOKEN1ZXCV में सभी शाखाओं और टैग से संवेदनशील डेटा को स्थायी रूप से हटाने के लिए
git-filter-repoया BFG रेपो-क्लीनर जैसे टूल का उपयोग करें।
FixVibe इसका परीक्षण कैसे करता है
FixVibe में अब इसे लाइव स्कैन में शामिल किया गया है। निष्क्रिय secrets.js-bundle-sweep समान-मूल जावास्क्रिप्ट बंडलों को डाउनलोड करता है और एन्ट्रापी और प्लेसहोल्डर गेट्स के साथ ज्ञात ZXCVFIXVIBTOKEN4ZXCV कुंजी, टोकन और क्रेडेंशियल पैटर्न से मेल खाता है। संबंधित लाइव चेक ब्राउज़र स्टोरेज, सोर्स मैप्स, ऑथ और BaaS क्लाइंट बंडल और GitHub रेपो सोर्स पैटर्न का निरीक्षण करते हैं। गिट इतिहास पुनर्लेखन एक सुधारात्मक कदम बना हुआ है; FixVibe का लाइव कवरेज शिप की गई संपत्तियों, ब्राउज़र स्टोरेज और वर्तमान रेपो सामग्री में मौजूद रहस्यों पर केंद्रित है।