Почему git log раскрывает секреты даже после их «удаления»
Удаление строки из файла и commitВнесение изменений фактически не удаляет конфиденциальные данные из вашего репозитория. Если этот секрет, ключ API, учётные данные или токен когда-либо были commitТед, он живёт в вашей истории Git. Любой, кто работает git log -p, мерзавец шоуили проверка отличий от прошлых commits все еще может его восстановить.
Даже если вы перезапишете файл или замените значение, git журнал Сохраняет полную родословную каждого изменения. Это сделано намеренно. Вся модель Git основана на неизменяемости commit История и распространённые копии. Так что, если вы не перепишете историю намеренно, ваши секреты никуда не денутся. Вот практический случай:
⚠️ Образовательный пример, не запускать в производство
Слишком поздно. git журнал все еще показывает этот ключ в начальном commit.
Заблуждения о git stash и git rebase
Многие разработчики предполагают, мерзавец Помогает скрывать или убирать секреты. Неправда. мерзавец только полки рабочий каталог изменения временные; они никогда не касаются commit История. Если когда-либо существовал секрет committed, последующее сохранение изменений не приводит к их очистке.
Как насчет git перебазировать? Хотя это и может переписать историю, это нужно сделать заранее.cisЭли. Просто бегу git rebase -i и переупорядочивание или сжатие commits не удаляет секреты, если вы их явно не редактируете или не удаляете. И если существует хотя бы один клон или форк исходного commits, ваш секрет продолжает жить.
Хуже того, перебазирование без правильного принудительного перемещения или повторной координации с соавторами может привести к повторному вводу раскрытых учетных данных посредством слияний.
⚠️ Образовательный пример, не использовать в реальных условиях.
⚠️ Образовательный пример, не запускать в производственных репозиториях
Редактировать commit содержащий секрет, но забывающий его удалить. Ваша git журнал может быть смотреть чище, но конфиденциальную информацию все равно можно восстановить.
Реальные риски, связанные с забытыми учетными данными в истории Git
Это не теория. Злоумышленники активно сканируют публичные и приватные репозитории в поисках секретов, скрывающихся в commit Истории. Форки GitHub, зеркальные репозитории и кэшированные CI/CD pipelineвсе это может хранить в себе эти забытые жетоны.
- Утечка API-ключа из старого git журнал привело к тысячам облачных биллинговых операций для одного стартапа.
- Токены OAuth committed, а затем «удалённые», использовались для взлома аккаунтов пользователей.
- Секреты, глубоко зарытые в ответвлениях проектов с открытым исходным кодом, стали причиной серьезных инцидентов безопасности.
Эти проблемы масштабируются CI/CD. Каждое задание, клонирующее репозиторий, запускается git журнал под капотом, и каждый артефакт сборки потенциально может содержать следы раскрытых секретов.
Очистка конфиденциальных данных с помощью git filter-repo
Если ущерб нанесен, то самый надежный способ его очистки — это git filter-repo, В отличие от git перебазировать, который переписывает individual commits, git filter-repo можно переписать весь commit история на основе путей к файлам, шаблонов или содержимого.
Пример: очистить все вхождения config.json которые могут содержать секреты:
⚠️ Образовательный пример, проверьте в тестовом репозитории перед использованием в производстве
Или удалить все commits, которые включают определенную строку (например, AWS_SECRET_ACCESS_KEY):
⚠️ Образовательный пример, проверьте в тестовом репозитории перед использованием в производстве
Будьте осторожны: это приведет к переписыванию commit Хеши. Вам нужно будет принудительно отправить изменения и уведомить всех участников. Любые ключи автоматизации или развертывания, привязанные к commit хеши будут ломаться.
Также такие инструменты, как BFG Repo-Очиститель предлагают аналогичные возможности, но менее гибкие и в настоящее время считаются устаревшими для сложных случаев.
Предотвращение утечек секретной информации до того, как она попадет в Git
Профилактика важнее уборки. Вот как не допустить утечки секретов. git журнал:
1. Pre-commit Hooks
Используйте такие инструменты, как pre-commit, gitleaks или талисман для сканирования на предмет секретов перед commits:
2. CI/CD Pipeline правоприменение
интегрировать секретное обнаружение В задания непрерывной интеграции. Сборки должны завершаться сбоем при обнаружении секретов. Сделайте это политикой.
3. Управление секретами
Никогда не задавайте учётные данные жёстко. Используйте переменные среды, хранилища или менеджеры секретов с самого первого дня.
4. Аудит зависимостей
Не доверяйте слепо сторонним пакетам. Секреты могут просочиться через слои npm, PyPI или Docker.
Финальное исправление: очистка секретов с помощью git filter-repo
Удалить секреты из кода недостаточно. git журнал хранит полную информацию, если только вы не предпринимаете намеренных действий по переписыванию истории. Не полагайтесь на мерзавец или полусырые git перебазировать попытки. Используйте git filter-repo когда вам нужна глубокая очистка, а также применение политик и сканирование до того, как секретные данные попадут в ваше хранилище.
Для упреждающего обнаружения секретов рассмотрите возможность использования таких инструментов, как Ксигени чтобы обезопасить свой pipelines, обеспечить соблюдение commit Соблюдайте гигиену и предотвращайте дорогостоящие утечки до их возникновения. Git никогда ничего не забывает, но вы можете сделать так, чтобы он никогда не запомнил ваши секреты.
