Inona no atao hoe fivoahan'ny tsiambaratelo?
Fivoahan-javatra miafina, fantatra ihany koa amin'ny hoe "leak secretNy "s" na "fampiharihariana miafina" dia ny famoahana tsy nahazoana alalana ny fampahalalana miafina, toy ny lakilen'ny API, tenimiafina ary mari-pankasitrahana manokana. Mety hitranga amin'ny alalan'ny fomba isan-karazany izany, anisan'izany ny fahadisoan'olombelona, ny rafitra tsy voalamina tsara, ary ny fanafihana ratsy.
Ny foto-kevitra momba ny fivoahan'ny fampahalalana miafina dia niandoha tamin'ny andro voalohan'ny cryptography rehefa nanomboka nandalina ny fomba mety hampiharihariana tsy nahy na niniana natao ny fampahalalana saro-pady ireo mpikaroka. Na izany aza, ny teny hoe "fivoahan'ny fampahalalana miafina" dia tsy nampiasaina betsaka raha tsy tamin'ny faramparan'ny taonjato faha-20, rehefa nanomboka nampiasaina hilazana ireo loza ateraky ny fiarovana mifandraika amin'ny fitomboan'ny fampiasana ny teknolojian'ny fampahalalana sy fifandraisana nomerika.
Ny fanafihana voalohany fantatra nitranga tamin'ny taona 1982 rehefa nangalatra ny lakilen'ny fanafenana ampiasaina hiarovana ny angon-drakitra miafina an'ny governemanta amerikana ny vondrona mpijirika. Ity fanafihana ity, Ity fanafihana ity, fantatra amin'ny anarana hoe VENONA, nitarika fanavaozana goavana teo amin'ny politika sy ny fomba fiasan'ny governemanta momba ny fiarovana, ary nanampy tamin'ny fampitomboana ny fahatsiarovan-tena momba ny maha-zava-dehibe ny fiarovana ny fampahalalana saro-pady ihany koa izany.
Ny fanitarana ny serivisy rahona, ny fampidirana mitohy, ary ny fanaterana (CI/CD) fomba fanao, ary ny fiparitahan'ny kaody loharano misokatra dia nampitombo ny mety hisian'ny tsiambaratelo ho voafafa tsy nahy ao amin'ny tahiry ho an'ny daholobe. Andeha isika hanomboka amin'ireo antony mahazatra mahatonga ny fivoahan'ny tsiambaratelo. Tohizo ny famakiana!
Antony mahatonga ny fanafihana ny fivoahan'ny tsiambaratelo
Antony maromaro no mety hiteraka leak secret fanafihana, anisan'izany:
- Fahadisoan'ny olombelona: Ny fahadisoan'olombelona no antony mahazatra indrindra mahatonga ny fivoahan'ny tsiambaratelo. Ohatra, mety tsy nahy ny mpamorona rindrambaiko commit fampahalalana miafina any amin'ny tahiry kaody ho an'ny daholobe.
- Rafitra tsy voalamina tsara: Ireo rafitra tsy voalamina tsara dia mety hampiharihary tsiambaratelo, toy ny lakilen'ny API sy ny tenimiafina, amin'ireo mpampiasa tsy nahazo alalana. Ohatra, ny mpizara tranonkala tsy voalamina tsara dia mety hamela ireo mpanafika hijery ny votoatin'ny rakitra fikirakirana azy, izay mety misy tsiambaratelo.
- Fanafihana ratsy: Afaka mampiasa fomba isan-karazany hangalarana tsiambaratelo ihany koa ireo olon-dratsy, toy ny fanafihana amin'ny alalan'ny "social engineering", ny fanafihana amin'ny alalan'ny "phishing", ary ny fanafihana amin'ny alalan'ny "malware". Ohatra, mety handefa mailaka any amin'ny mpiasa iray izay miseho ho solontenan'ny fanohanana ara-teknika ara-dalàna ny mpanafika ary hamitaka ny mpiasa mba hampiharihary ny mombamomba azy. Raha ny marina, 83%-n'ny fanitsakitsahana angon-drakitra tamin'ny taona 2022 dia nahitana mpandray anjara anatiny momba Verizon fikarohana.
- Politika sy fomba fiasa momba ny fiarovana malemy: Mety tsy manana politika sy fomba fiasa matanjaka momba ny fiarovana hiarovana ny tsiambaratelo ny fikambanana. Ohatra, mety tsy mitaky ny mpiasany hampiasa tenimiafina matanjaka na hamela ny fanamarinana misy singa maro ny fikambanana iray. Ohatra, 81% of Ny fanitsakitsahana voamarina dia vokatry ny tenimiafina malemy, nampiasaina indray, na nangalarina tamin'ny taona 2022, taorian'ny LastPass tatitra.
- tsy miraharaha: Mety tsy hiraharaha ny fiarovana ny rafitra sy ny angon-drakitra araka ny tokony ho izy ireo fikambanana, ka mahatonga azy ireo ho mora kokoa ho an'ny mpanafika ny mangalatra tsiambaratelo. Ohatra, mety tsy hametraka fanavaozana fiarovana na tsy hanavao ny rafitra ny fikambanana iray.
- Tsy fahampian'ny fahalalana: Mety tsy ho fantatry ny mpiasa ny mety ho voka-dratsin'ny famoahana tsiambaratelo, na mety tsy ho fantany ny fomba hiarovana azy ireo araka ny tokony ho izy. Ohatra, 90%-n'ny fanafihana an-tserasera dia mitaky tetika fanovana sosialy..
Fiantraikan'ny fanafihana miafina
Mety hisy fiantraikany ratsy sy goavana eo amin'ny fikambanana ny fanafihana miafina amin'ny famoahana angon-drakitra. Mety hiatrika ireto voka-dratsy manaraka ireto ny fikambanana izay iharan'ny fanafihana miafina amin'ny famoahana angon-drakitra:
- Fifanarahana amin'ny fitaovana sy fotodrafitrasa fampivoarana rindrambaiko: Mety hanimba ireo fitaovana sy fotodrafitrasa fampivoarana rindrambaiko ireo mpanafika, toy ny tahiry kaody loharano, rafitra fananganana, ary CI/CD pipelines, mba hampidirana kaody manimba ao anaty vokatra rindrambaiko nefa tsy ho hita. Azo ampiasaina amin'ny rafitry ny mpanjifa io kaody io avy eo, ka manome varavarana ambadika ho an'ireo mpanafika mba hidirana ao amin'ny tambajotrany.
- misy poizina Pipeline: Mety hanimba ny rojo famatsiana rindrambaiko an'ny mpivarotra ny mpanafika mba hanapoizinana ny vokatra ao amin'ny orinasa amin'ny kaody mampidi-doza. Mety hapetraky ny mpanjifan'ny mpivarotra tsy nahy io kaody io, ka ahafahan'ny mpanafika miditra amin'ny rafitr'izy ireo.
- Fanitsakitsahana ny angona: Mety hiteraka fiparitahan'ny angon-drakitra saro-pady, toy ny firaketana an-tsoratry ny mpanjifa, ny fampahalalana ara-bola ary ny fananana ara-tsaina ny fanafihana miafina amin'ny famoahana angon-drakitra. Azo angalarina sy ampiasaina amin'ny hosoka ireo angon-drakitra ireo, na azo avoaka ampahibemaso, ka manimba ny lazan'ny fikambanana.
- Fanelingelenana ny asa: Afaka miditra amin'ireo rafitra manan-danja, toy ny mpizara famokarana na angon-drakitra, ireo mpanafika mba hanakorontanana na hampijanonana ny asa. Mety hiteraka fatiantoka ara-bola lehibe sy fahasimbana laza izany.
- Fangalarana fananana ara-tsaina sy fampahalalana manokana: Afaka mangalatra tsiambaratelo, toy ny kaody loharano na tsiambaratelo ara-barotra, ireo mpanafika mba hamolavolana vokatra mifaninana na hangalatra ny tombony azo avy amin'ny fifaninanana ho an'ny orinasa iray. Mety hisy fiantraikany lehibe io fanitsakitsahana io raha toa ka mahavita mangalatra fampahalalana saro-pady, toy ny "access tokens" na ny lakilen'ny API, avy amin'ny... SCMAmin'ny alalan'ireo fahazoan-dàlana nangalarina ireo, dia mety hahazo fidirana tsy nahazoana alalana amin'ny rafitra famokarana ireo mpanafika, izay mety hiteraka loza ara-piarovana mafy kokoa. Mety hiditra amin'ny angon-drakitra manokana izy ireo, hanodinkodina ny fiasan'ny rafitra, na hangalatra fampahalalana miafina, ka tsy vitan'ny hoe mampidi-doza ny fahamarinan'ny rafitra fa mampidi-doza ny fiainana manokana sy ny fitokisan'ny mpampiasa ihany koa.
- Fatiantoka ara-bolaNy fanitsakitsahana angon-drakitra, anisan'izany ireo avy amin'ny fanafihana miafina amin'ny famoahana angon-drakitra, dia mety hiteraka fatiantoka ara-bola lehibe ho an'ny fikambanana. Ny vidin'ny famaliana ny fanafihana miafina amin'ny famoahana angon-drakitra dia ahitana ny fanadihadiana ny tranga, ny fanarenana ny fahalemena, ary ny fampandrenesana ireo olona voakasik'izany. Mety hiatrika lamandy sy sazy hafa avy amin'ny mpandrindra ihany koa ireo fikambanana raha tsy mahavita miaro tsara ny tsiambaratelony. Ohatra, araka ny lalàna GDPR ao amin'ny EU, dia mety handoa lamandy hatramin'ny 20 tapitrisa euros na 4% amin'ny vola miditra manerantany ny fikambanana, izay ambony kokoa, noho ny fanitsakitsahana lehibe indrindra. Any Etazonia, lalàna momba ny fiainana manokana maro amin'ny ambaratonga federaly sy fanjakana no mametraka vahaolana ara-pitantanana na sazy sivily ho an'ny tsy fanarahana ny lalàna izay mety manomboka amin'ny $100 ka hatramin'ny $50,000 isaky ny fanitsakitsahana, miaraka amin'ny totalin'ny $25,000 ka hatramin'ny $1.5 tapitrisa ho an'ny fanitsakitsahana rehetra ny fepetra takiana tokana ao anatin'ny herintaona.
- Fahasimban'ny laza: Mety hanimba ny lazan'ny fikambanana iray ny fanafihana miafina amin'ny famoahana angon-drakitra. Mety tsy hatoky ny fahafahan'ny fikambanana miaro ny angon-drakitra sy ny fiainany manokana intsony ny mpanjifa sy ny mpampiasa vola. Mety hiteraka fatiantoka ara-barotra izany ary hahatonga ny fisarihana mpanjifa sy mpampiasa vola vaovao ho sarotra kokoa.
- Fanaraha-maso ara-dalàna: Ny tsy fiarovana ireo mety ho fahalemena, anisan'izany ny mety hisian'ny fanafihana miafina amin'ny famoahana vaovao, dia mety hisarika ny sain'ireo mpandrindra izay mety hanadihady ny tranga ary hametraka lamandy sy sazy hafa amin'ny fikambanana. Izany dia mety hitarika amin'ny fitomboan'ny fandaniana sy ny enta-mavesatry ny fanarahan-dalàna. Ohatra, ny Vaomieran'ny Fiarovana sy ny Fifanakalozana (SEC) vao haingana no nanadihady ny fanafihana an-tserasera SolarWinds ary niampanga ny SolarWinds Corporation ho nanao hosoka sy tsy fahombiazan'ny fanaraha-maso anatiny mifandraika amin'ny loza sy ny fahalemena voalaza fa fantatra momba ny fiarovana an-tserasera.
Ohatra tena misy amin'ny Leak Secrets fanafihana
Ny fanitsakitsahana angon-drakitra vokatry ny halatra fahazoan-dàlana no karazana fanitsakitsahana angon-drakitra mahazatra indrindra, ary efa hatramin'ny taona 2021 izany, araka ny filazan'ny Tatitra momba ny vidin'ny fanitsakitsahana angon-drakitra IBM 2022Mety hisy fiantraikany ratsy eo amin'ny fikambanana ihany koa ny fanafihana miafina amin'ny famoahana angon-drakitra, miaraka amin'ny salan'isa maneran-tany amin'ny fandaniana amin'ny fanitsakitsahana angon-drakitra hahatratra 4.35 tapitrisa dolara amin'ny taona 2022, raha ny momba ny Verizon's 2022 Data fanitsakitsahana ny tatitra fanadihadiana (DBIR):
Ireto misy famintinana fohy momba ny fanafihana miafina sasany voarakitra tato anatin'ny taona vitsivitsy:
- Tamin'ny Janoary 2023, Namoaka vaovao momba ny fihoaram-pefy momba ny angon-drakitra ny GitHub izay nahafahan'ireo mpanafika nangalatra tamim-pahombiazana ireo mari-pankasitrahana fanasoniavana kaody ho an'ny dikan-teny maromaro an'ny GitHub Desktop sy Atom. Ny fanadihadiana dia naneho fa nahazo fidirana tamin'ny rafitra anatiny GitHub ireo nahavanon-doza, ka nahafahan'izy ireo nanao dika mitovy amin'ny tahiry manokana ary nahazo tsy ara-dalàna ireo mari-pankasitrahana fanasoniavana kaody. Ity tranga ity dia manamafy ny maha-zava-dehibe ny protocole fiarovana matanjaka ho fiarovana ny mari-pankasitrahana fanasoniavana kaody ary manantitrantitra ny filàna ho an'ireo mpamorona rindrankajy hanaraka ny fomba fanao tsara indrindra amin'ny fiarovana tsiambaratelo mba hampihenana ny mety hisian'ny tranga mitovy amin'izany amin'ny ho avy.
- Tamin'ny March 2023, Niharan'ny fanafihana goavana tamin'ny rojo famatsiana ny GitHubNavoaka ampahibemaso tamin'ny fomba diso commit nampiharihary ny lakile SSH manokana ho an'ny serivisy GitHub. Nanome fahafahana ho an'ny mpanafika ity tranga ity mba hanahaka ny GitHub amin'ny fomba mandresy lahatra, izay maneho fitaka lalina ary miteraka risika ara-piarovana lehibe. Na izany aza, dia namaha haingana ny toe-draharaha ny GitHub ary nanolo ny lakileny ho fepetra fisorohana.
Ahoana no hisorohana Leak Secret fanafihana
Misy dingana maromaro azon'ny fikambanana atao mba misoroka ireo fanafihana ireo, Ao anatin'izany ny:
- Ampianaro ny mpiasa momba ny mety ho fisian'ny famoahana tsiambaratelo sy ny fomba hiarovana azy ireoTokony ho fantatry ny mpiasa ireo karazana fanafihana miafina samihafa sy ny fomba hamantarana sy hisorohana izany. Tokony hofanina ihany koa izy ireo momba ny fomba fitahirizana sy fitantanana araka ny tokony ho izy ny tsiambaratelo.
- Mampihatra fanaraha-maso fiarovana matanjaka. Tokony hampihatra fanaraha-maso fiarovana matanjaka ireo fikambanana, toy ny rindranasa fiarovana amin'ny afo, rafitra famantarana fidirana an-tsokosoko, ary lisitry ny fanaraha-maso fidirana, mba hiarovana ny rafitra sy ny angon-drakitra amin'ny fidirana tsy nahazoana alalana. Tokony hampiasa fitaovana fitantanana tsiambaratelo ihany koa izy ireo mba hitehirizana sy hitantanana tsiambaratelo am-pilaminana.
- Ampiasao fitaovana fitiliana mba hamantarana ireo tsiambaratelo alohan'ny commitfametrahana azy ireo ao amin'ny repositories na fametrahana azy ireo ao amin'ny CI/CD pipelines or IaC firafitra. Izany dia manome valin-kafatra eo no ho eo ho an'ny mpamorona sy ny DevOps, izay misoroka ny fidirana amin'ny tantaran'ny dikan-teny na ny fotodrafitrasa famokarana.
- Araho maso ireo rafitra sy tambajotra raha misy hetsika mampiahiahy. Tokony hijery tsara ny rafitra sy ny tambajotra misy azy ireo fikambanana mba hahitana hetsika mampiahiahy izay mety ho famantarana fanafihana miafina momba ny fivoahan'ny fampahalalana.
- Manàna drafitra hamaliana ireo fanafihana miafina momba ny fivoahan'ny vaovao tsy ara-dalàna. Raha misy fanafihana miafina amin'ny fivoahan'ny angon-drakitra, dia tokony hanana drafitra handaminana haingana sy mahomby ireo fikambanana. Tokony ahitana dingana hifehezana ny fahasimbana, hampihenana ny fiantraikany, ary hanadihady ny tranga io drafitra io.
Ahoana no hanampian'ny Xygeni hisorohana ny fivoahan'ny rano miafina
Xygeni Secrets Security dia vahaolana feno izay mihoatra noho ny fiarovana ny tsiambaratelo fotsiny mba hiantohana ny fitohizana, ny fiarovana ary ny faharetan'ny rojo famatsiana rindrambaiko maoderina. Tsy fitaovana famantarana fotsiny izy io, fa fitaovana iray commitmanaraka ny politika tsy misy tsiambaratelo miafina, izay tanterahina amin'ny alàlan'ny andiana endri-javatra miavaka izay miaro mialoha ny tsingerin'ny fampandrosoana rindrambaiko.
Tombontsoa lehibe sy endri-javatra Xygeni Secrets Security
Xygeni Secrets Security manolotra tombony sy endri-javatra manan-danja maromaro, anisan'izany:
- Fikarohana sy fisorohana amin'ny fotoana tena izyMifandray amin'ny Git ny Xygeni hooks mba hijerena sy hamantarana ireo tsiambaratelo alohan'ny hisehoany committed amin'ny tahiry. Izany dia manome valin-teny eo no ho eo ho an'ny mpamorona ary misoroka ny fidirana amin'ny tantaran'ny dikan-teny.
- Fikarohana feno: Mihoatra lavitra noho ny fampifanarahana lamina mahazatra ny fahafahan'ny Xygeni mijery mba hamantarana sy hanamarinana endrika miafina isan-karazany, na inona na inona fiteny, tranomboky, na sehatra.
- Fanamarinana marani-tsaina: Mampihena ny vokatra diso ny dingana fanamarinana marani-tsaina an'ny Xygeni, izay miantoka fa ny mpamorona rindrambaiko ihany no mahazo fampandrenesana momba ny fahalemena voamarina.
- Traikefa amin'ny mpamorona rindrambaiko tsy misy olana: Manatsara ny traikefan'ny mpamorona rindrambaiko ny vahaolana tsy manelingelina avy amin'ny Xygeni miaraka amin'ny WebUI izay manome hevi-baovao azo ampiharina ary ahafahan'ny mpamorona rindrambaiko mianatra sy mampihatra ireo fomba fanao tsara indrindra momba ny fiarovana amin'ny fotoana tena izy.
- Fampiharana ny politika sy fanaraha-maso mitohy: Ny rafitra fiarovana an'ny Xygeni dia ahafahan'ny fikambanana mampihatra politika fiarovana hentitra mandritra ny tsingerin'ny fampandrosoana ary mamantatra sy mamaha haingana izay fiviliana rehetra.
Amin'ny alàlan'ny famahana ny antony fototry ny fivoahan'ny tsiambaratelo sy ny fanomezana vahaolana feno izay mampiditra ny fiarovana amin'ny fizotran'ny fampandrosoana, ny Xygeni dia manampy ireo fikambanana hiaro ny tsiambaratelony amin'ny fidirana tsy nahazoana alalana.
Ireto misy ohatra manokana momba ny fomba ahafahan'ny Xygeni manampy ireo fikambanana hisoroka ny famoahana tsiambaratelo:
- Developer commits API ho an'ny tahiry kaody ho an'ny daholobe: Ny fampidirana Git hook an'i Xygeni dia mamantatra ireo lakilen'ny API alohan'ny haha-azo ampiasaina azy ireo. committed ary mampijanona ny commit, fisorohana ny famoahana tsiambaratelo.
- Manararaotra ny fahalemena iray ny mpanafika mba hahazoana fidirana amin'ireo rakitra fikirakirana: Ny fitiliana feno ataon'ny Xygeni dia mamantatra ireo angon-drakitra saro-pady ao amin'ireo rakitra fikirakirana ary mampitandrina ny fikambanana, ahafahany manitsy ny fahalemena sy misoroka ny mpanafika tsy hangalatra angon-drakitra raha sendra misy fanararaotana.
Fitaovana tena ilaina ho an'ny fikambanana rehetra izay te hiaro ny tsiambaratelony amin'ny fidirana tsy nahazoana alalana ny fomba fiasan'ny Xygeni amin'ny fitadiavana tsiambaratelo miafina. Amin'ny fampiharana ny Xygeni, afaka mampihena ny mety hisian'ny fanafihana fivoahan'ny angon-drakitra miafina ny fikambanana ary miaro ny angon-drakitra amin'ny halatra.
Raha mila fanazavana fanampiny momba ny Leak Secret Fanafihana sy ny fomba hisorohana azy ireo, anontanio fihaonana amin'ny ekipantsika ary ho voavaly avokoa ny fisalasalanao rehetra.
