Qui a laissé son mot de passe dans le code
•
0 j'aime•214 vues
Qui, de nos jours, laisse encore son mot de passe dans le code? Pour quelles raisons? Et comment éviter de voir ses secrets atterrir en production, ou dans un dépot public? en utilisant Exakat et git-secrets.
Recommandé
Contenu connexe
Tendances
Tendances (20)
Similaire à Qui a laissé son mot de passe dans le code
Similaire à Qui a laissé son mot de passe dans le code (20)
Plus de Damien Seguy
Plus de Damien Seguy (20)
Qui a laissé son mot de passe dans le code
- 1. Qui a laissé son mot de passe dans le code?
- 2. Problème Un mot de passe en clair Archivé (commité) dans le dépot Facile à trouver, difficile à modifier
- 3. Chut, c'est secret! Mot de passe, nom d'utilisateur Profil d'accès, credentials, privileges Secrets AWS, Slack Token, application ID, Mapbox dev key SHA1/256, MD5, signature, clé SSH… Valeur de test
- 5. Mais comment on fait ça? Development initial Debuggage ponctuel Valeurs pour tests, administration, cas particuliers Commentaires Pure inattention Valeurs par défaut à l'installation
- 6. git-secrets Scanne les fichiers pour identifier les 'secrets' git secrets --register-aws git secrets —-scan -r . git secrets —-scan-history git secrets --add-provider -- cat /path/to/patterns https://github.com/awslabs/git-secrets
- 7. Exakat Moteur d'analyse statique PHP Inventaire : Structures/NoHardcodedHash Analyse : Functions/HardcodedPasswords https://www.exakat.io/
- 8. Exakat '10000000' /Tinebase/User/ActiveDirectory.php:543 '25464543' /HumanResources/Setup/DemoData.php:75 '15464684' /HumanResources/Setup/DemoData.php:60 '0AIAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA ... '$2a$07$' /library/Hash/Password/Crypt.php:49 '$1$2$3$4T$5$6$7Z' /Calendar/Convert/Event/VCalendar/Abstract.php:300 '3584703dcd783a3427a1d9a2cf0352327a6d4ca7'/scripts/addgrant.php:31 'f68dbbc2b4ad4e823423962f2b1a2e78ea1703e4'/scripts/addgrant.php:29 '19760401T005545Z' /Calendar/Frontend/CalDAV/PluginDefaultAlarms.php:14 '19760401T005545Z' /Calendar/Frontend/CalDAV/PluginDefaultAlarms.php:12 '19760401T005545Z' /Calendar/Frontend/CalDAV/PluginDefaultAlarms.php:11 '19760401T005545Z' /Calendar/Frontend/CalDAV/PluginDefaultAlarms.php:96 'STANDORT' /Calendar/Import/Resource/Csv.php:82 'STANDORT' /Calendar/Model/Resource.php:87
- 9. Comment se protéger? Ajouter la vérification des mots de passe dans le CI AVANT le commit (git-secrets) Adapter la vérification à votre situation regex, configuration… Utiliser des sources de secrets externes Variables d'environnement, serveur de secrets, PAM
- 10. Merci! https://www.exakat.io/ Twitter : @exakat Analyse statique pour PHP Damien Seguy