اثر
راز لڪي وڃڻ جهڙوڪ API ڪيز، ٽوڪن، يا سندون غير مجاز ڊيٽا تائين رسائي، خدمت جي نقالي، ۽ وسيلن جي غلط استعمال جي ڪري اهم مالي نقصان [S1] جي ڪري سگھي ٿي. هڪ دفعي هڪ راز عوامي مخزن لاءِ واعدو ڪيو ويو آهي يا هڪ فرنٽ اينڊ ايپليڪيشن ۾ بنڊ ڪيو ويو آهي، ان کي سمجهيو وڃي سمجھوتو [S1].
بنيادي سبب
بنيادي سبب حساس سندن جي سڌي طرح سورس ڪوڊ يا ڪنفيگريشن فائلن ۾ شامل ڪرڻ آهي جيڪي بعد ۾ ورزن ڪنٽرول لاءِ پرعزم آهن يا ڪلائنٽ [S1] جي خدمت ۾ آهن. ڊولپرز اڪثر ڪري ڊولپمينٽ دوران سهولت لاءِ هارڊ-ڪوڊ ڪنجيون يا اتفاقي طور تي .env فائلون شامل ڪندا آهن انهن جي ڪمن ۾ [S1].
ڪنڪريٽ فيڪس
- Rotate Compromised Secrets: جيڪڏهن ڪو راز لڪي وڃي ته ان کي رد ڪيو وڃي ۽ فوري طور تي تبديل ڪيو وڃي. صرف ڪوڊ جي موجوده ورزن مان راز کي هٽائڻ ڪافي نه آهي ڇاڪاڻ ته اهو نسخو ڪنٽرول جي تاريخ ۾ رهي ٿو [S1][S2].
- ماحولياتي متغير استعمال ڪريو: رازن کي محفوظ ڪريو ماحوليات جي متغيرن ۾ نه بلڪه انهن کي سخت ڪوڊنگ ڪرڻ جي. پڪ ڪريو ته
.envفائلون.gitignore۾ شامل ڪيون ويون آهن حادثاتي ڪمن کي روڪڻ لاءِ [S1]. - سيڪريٽ مئنيجمينٽ کي لاڳو ڪريو: رن ٽائم [S1] تي ايپليڪيشن ماحول ۾ سندون داخل ڪرڻ لاءِ وقف ٿيل ڳجهي انتظام جا اوزار يا والٽ سروسز استعمال ڪريو.
- Purge Repository History: جيڪڏهن Git لاءِ ڪو راز رکيو ويو هو،
git-filter-repoيا BFG Repo-Cleaner کي استعمال ڪريو حساس ڊيٽا کي مستقل طور تي هٽائڻ لاءِ سڀني شاخن مان حساس ڊيٽا کي هٽائڻ ۽ ٽئگز جي تاريخ [S2].
ڪيئن FixVibe ان لاءِ ٽيسٽ ڪري ٿو
FixVibe ھاڻي ھي لائيو اسڪين ۾ شامل آھي. Passive secrets.js-bundle-sweep ڊائون لوڊ ڪري ٿو ساڳي اصل جاوا اسڪرپٽ بنڊلز ۽ ملن ٿيون سڃاتل API ڪي، ٽوڪن، ۽ معتبر نمونن سان اينٽراپي ۽ پليس هولڊر گيٽس. لاڳاپيل لائيو چيڪ برائوزر اسٽوريج جو معائنو ڪن ٿا، ماخذ نقشا، تصنيف ۽ BaaS ڪلائنٽ بنڊل، ۽ GitHub ريپو سورس نمونن. گيٽ جي تاريخ ٻيهر لکڻ هڪ تدبير وارو قدم آهي. FixVibe جي لائيو ڪوريج موڪليل اثاثن، برائوزر اسٽوريج، ۽ موجوده ريپو مواد ۾ موجود رازن تي ڌيان ڏئي ٿي.