Chii chinonzi Kubuda Kwepachivande?
Kubuda kwepachivande, kunozivikanwawo sekuti “leak secrets” kana kuti “kufumurwa pachivande,” kuburitswa pachena kwemashoko akavanzika pasina mvumo, akadai semakiyi eAPI, mapassword, uye zvitupa zvepachivande. Zvinogona kuitika nenzira dzakasiyana-siyana, kusanganisira kukanganisa kwevanhu, masisitimu asina kugadziriswa zvakanaka, uye kurwiswa kwakaipa.
Pfungwa yekubuda kweruzivo rwepachivande yakatanga mumazuva ekutanga ekunyora mashoko epachivande apo vaongorori vakatanga kudzidza kuti ruzivo rwakavanzika rwaigona sei kuburitswa pachena netsaona kana nemaune. Zvisinei, izwi rekuti "kubuda kweruzivo rwepachivande" harina kushandiswa zvakanyanya kusvika pakupera kwezana remakore rechi20, apo rakatanga kushandiswa kutsanangura njodzi dzekuchengetedza dzine chekuita nekuwedzera kwekushandiswa kweruzivo rwedhijitari netekinoroji yekutaurirana.
Kurwiswa kwekutanga kunozivikanwa zvakaitika muna 1982 apo boka rema hackers rakaba makiyi e encryption aishandiswa kuchengetedza data rehurumende yeUS. Kurwiswa uku, Kurwiswa uku, kunozivikanwa seVENONA, zvakakonzera kugadziriswa kukuru kwemitemo yehurumende yekuchengetedza uye maitiro ayo, uye zvakabatsirawo kusimudzira ruzivo rwekukosha kwekuchengetedza ruzivo rwakakosha.
Kuwedzera kwemasevhisi egore, kubatanidzwa kunogara kuripo, uye kuendeswa kwezvinhu (CI/CD) maitiro, uye kuwanda kwekodhi yakavhurika kwakawedzera mukana wekuti zvakavanzika zvinyorwe netsaona munzvimbo dzeveruzhinji. Zvino ngatitangei nezvikonzero zvinowanzoita kuti zvakavanzika zvibude pachena. Ramba uchiverenga!
Zvinokonzera Kurwiswa Kwezvakavanzika
Zvikonzero zvakawanda zvinogona kukonzera leak secret kurwisa, kusanganisira:
- Kukanganisa kwevanhu: Kukanganisa kwevanhu ndicho chikonzero chinowanzoita kuti pave nekubuda kwemvura pachivande. Semuenzaniso, mugadziri anogona netsaona commit ruzivo rwakavanzika kune repository yekodhi yeruzhinji.
- Masisitimu asina kugadziriswa zvakanaka: Masisitimu asina kurongwa zvakanaka anogona kufumura zvakavanzika, zvakaita semakiyi eAPI nemapassword, kune vashandisi vasina mvumo. Semuenzaniso, sevha yewebhu isina kurongwa zvakanaka inogona kubvumira vapambi kuona zviri mumafaira ayo ekugadzirisa, ayo anogona kunge aine zvakavanzika.
- Kurwiswa kwakaipa: Vanhu vane utsinye vanogona kushandisa nzira dzakasiyana-siyana kuti vaba zvakavanzika, zvakaita sekurwiswa kwevanhu, phishing attacks, uye malware attacks. Semuenzaniso, munhu anorwisa anogona kutumira email kumushandi achinyepedzera kuva mumiririri wekutsigira IT uye kunyengedza mushandi kuti aburitse humbowo hwake. Kutaura zvazviri, 83% yekutyorwa kwedata muna 2022 kwaisanganisira vanhu vari mukati mekambani. maererano Verizon tsvakurudzo.
- Mitemo nemaitiro ekuchengetedza asina kusimba: Masangano anogona kunge asina mitemo yakasimba yekuchengetedza zvakavanzika. Semuenzaniso, sangano rinogona kusada kuti vashandi vashandise mapassword akasimba kana kuti vabvumidze multi-factor authentication. Semuenzaniso, 81% ye Kutyorwa kwemutemo kwakasimbiswa kuti kwakakonzerwa nemapassword asina simba, akashandiswazve, kana kubiwa muna 2022, zvichitevera LastPass report.
- Kuregeredza: Masangano anogona kuregeredza kuchengetedza masisitimu avo nedata ravo nemazvo, zvichiita kuti zvive nyore kuti varwisi vaba zvakavanzika. Semuenzaniso, sangano rinogona kutadza kuisa ma patches ekuchengetedza kana kuchengetedza masisitimu aro achivandudzwa.
- Kusaziva: Vashandi vanogona kunge vasingazive nezvenjodzi dzekufumura zvakavanzika, kana kuti vangave vasingazive nzira yekuzvichengetedza nemazvo. Semuenzaniso, 90% yekurwiswa kwepaindaneti kunosanganisira nzira dzekugadzira magariro evanhu.
Mhedzisiro yekurwiswa kwekubuda kwemvura pachivande
Kurwiswa kwekubuda kwemvura muchivande kunogona kukanganisa masangano zvakanyanya uye zvakanyanya. Masangano anosangana nekurwiswa kwekubuda kwemvura muchivande anogona kusangana nemigumisiro yakaipa inotevera:
- Kusawirirana kwezvishandiso zvekugadzira software uye zvivakwa: Varwisi vanogona kukanganisa maturusi ekugadzira software nezvivakwa, zvakaita senzvimbo dzekuchengetedza makodhi, kuvaka masisitimu, uye CI/CD pipelines, kuisa kodhi yakaipa muzvigadzirwa zvesoftware pasina kuonekwa. Iyi kodhi inogona kuiswa kumasisitimu evatengi, zvichipa varwi mukana wekupinda muma network avo.
- Akaiswa chepfu Pipeline: Varwisi vanogona kukanganisa mashandiro esoftware yemutengesi kuti vauraye zvigadzirwa zvesangano nekodhi yakaipa. Kodhi iyi inogona kuiswa nevatengi vemutengesi vasingazive, zvichiita kuti varwisi vakwanise kushandisa masisitimu avo.
- Kutyorwa kwedata: Kurwiswa kwepachivande kwe data rinobuda pachena kunogona kukonzera kuburitswa kwemashoko akavanzika, akadai sezvinyorwa zvevatengi, ruzivo rwemari, uye pfuma yepfungwa. Data iri rinogona kubiwa uye kushandiswa nezvinangwa zvekubiridzira, kana kuti rinogona kuburitswa pachena, zvichikanganisa mukurumbira wesangano.
- Kukanganiswa kwemabasa: Varwisi vanogona kuwana nzira dzekushandisa masisitimu akakosha, akadai semasevha ekugadzira kana madhatabhesi, kuti vavhiringidze kana kutomisa mashandiro. Izvi zvinogona kukonzera kurasikirwa kukuru kwemari uye kukuvara kwemukurumbira.
- Kubiwa kweruzivo rwepfungwa neruzivo rwepachivande: Varwisi vanogona kuba zvakavanzika, zvakaita sekodhi yemashoko kana zvakavanzika zvekutengeserana, kuti vagadzire zvigadzirwa zvinokwikwidzana kana kuba mukana wekukwikwidzana wekambani. Kutyora uku kunogona kuva nemigumisiro yakakura kana murwisi akabudirira kuba ruzivo rwakakosha, senge ma access token kana ma API keys, kubva ku SCMNezvitupa izvi zvakabiwa, varwisi vanogona kuwana mukana wekupinda mumasisitimu ekugadzira zvinhu vasina mvumo, izvo zvinogona kukonzera zviitiko zvakakomba zvekuchengetedza. Vanogona kuwana ruzivo rwepachivande, kushandura mashandiro esisitimu, kana kuburitsa ruzivo rwakavanzika, zvichiisa panjodzi kwete chete kuchengetedzeka kwesisitimu asiwo kuvanzika nekuvimba kwevashandisi.
- Kurasikirwa nemari: Kutyorwa kwedata, kusanganisira uko kunobva mukurwiswa kwekubuda kwedata pachivande, kunogona kutungamira mukurasikirwa kukuru kwemari kumasangano. Mari yekupindura kurwiswa kwekubuda kwedata pachivande inosanganisira kuferefeta chiitiko chacho, kugadzirisa kushaya simba, uye kuzivisa vanhu vakakanganiswa. Masangano anogonawo kubhadhariswa faindi nezvimwe zvirango kubva kune vanodzora kana vakakundikana kuchengetedza zvakavanzika zvavo zvakakwana. Semuenzaniso, pasi pemutemo weGDPR muEU, masangano anogona kubhadhariswa faindi inosvika mamiriyoni makumi maviri emaeuro kana 4% yemari yavo yepasi rose, chero ipi zvayo yakakwira, nekuda kwekutyorwa kwemutemo kwakakomba. MuUS, mitemo yakawanda yekuchengetedzwa kwedata padanho rehurumende nedunhu inogadza nzira dzekutonga kana zvirango zvevanhu nekuda kwekusatevedzera mutemo zvinogona kubva pamadhora zana kusvika makumi mashanu emadhora zviuru makumi mashanu pakutyorwa kwemutemo, nemutengo we $25,000 kusvika mamiriyoni gumi nemashanu pakutyorwa kwemutemo mumwe chete mugore rekarenda.
- Mukurumbira kukuvadzwa: Kurwiswa kwepachivande kwemari inoburitswa kunogona kukanganisa mukurumbira wesangano. Vatengi nevanoisa mari vanogona kurasikirwa nekuvimba nekukwanisa kwesangano kuchengetedza data ravo neruzivo rwavo. Izvi zvinogona kukonzera kurasikirwa nebhizinesi uye kuita kuti kukwezva vatengi vatsva nevanoisa mari kuve kwakaoma.
- Kuongorora kwemitemo: Kusadzivirira njodzi dzinogona kuitika, kusanganisira njodzi yekurwiswa kwepachivande, kunogona kukwezva kutarisisa kwevatongi vanogona kuferefeta chiitiko ichi voisa faindi nezvimwe zvirango kusangano. Izvi zvinogona kukonzera kuwedzera kwemitengo uye mutoro wekutevedzera mitemo. Semuenzaniso, Securities and Exchange Commission (SEC) ichangobva kuferefeta kurwiswa kweSolarWinds paindaneti ndokupomera SolarWinds Corporation mhosva yekubiridzira uye kukundikana kwekutonga kwemukati kwakabatana nenjodzi dzinozivikanwa dzekuchengetedzwa kweindaneti uye kukundikana.
Mienzaniso Yechokwadi Yepasi Rese Leak Secrets kurwisa
Kutyorwa kwedata kunokonzerwa nekubiwa kwemagwaro ekushandisa ndiyo mhando inonyanya kupararira yekuparara kwedata, uye izvi zvave zvakadaro kubvira 2021, zvichienderana ne Mutengo weIBM weMushumo weKutyorwa kweData 2022Kurwiswa kwekubuda kwedata pachivande kunogonawo kukanganisa masangano zvakanyanya, neavhareji yemari yepasi rose yekutyorwa kwedata inosvika $4.35 miriyoni muna 2022, maererano ne Verizon's 2022 Data Breach Investigations Report (DBIR):
Heino pfupiso pfupi yezvimwe zvekurwiswa kwakavanzika kwekubuda kwemvura kwakanyorwa mumakore achangopfuura:
- MunaJanuary 2023, GitHub yakaburitsa pachena kutyorwa kwedata apo varwisi vakabudirira kuba zvitupa zvekusaina makodhi zveGitHub Desktop neAtom. Kuferefeta kwakaratidza kuti mupari wemhosva akawana mukana wekushandisa system yemukati yeGitHub, zvichivagonesa kukopa marepository chaiwo uye kuwana zvitupa zvekusaina makodhi zvisiri pamutemo. Chiitiko ichi chinosimbisa kukosha kwakakosha kwemitemo yakasimba yekuchengetedza zvitupa zvekusaina makodhi uye chinosimbisa kukosha kwevagadziri kuti vatevedzere nzira dzakanakisisa dzekuchengetedza zvakavanzika kuti vaderedze njodzi yezviitiko zvakafanana mune ramangwana.
- Muna March 2023, GitHub yakasangana nekurwiswa kukuru kwecheni yekugovera. Chinhu chakaziviswa pachena zvisirizvo commit yakafumura kiyi yeSSH yakavanzika yebasa reGitHub. Chiitiko ichi chakapa mukana kune murwisi kuti aite seGitHub zvinogutsa, achiratidza hunyengeri hwakakura uye achiisa njodzi huru yekuchengetedza. Zvisinei, GitHub yakakurumidza kugadzirisa mamiriro acho ezvinhu ndokutsiva kiyi yavo senzira yekudzivirira.
Maitiro Ekudzivirira Leak Secret kurwisa
Kune matanho akati wandei anogona kutorwa nemasangano kuti kudzivirira kurwiswa ikoko, Kusanganisira:
- Dzidzisai vashandi nezvenjodzi dzekubuda pachena kwenyaya uye maitiro ekudzivirira zvakavanzikaVashandi vanofanira kuziva marudzi akasiyana-siyana ekurwiswa kwepachivande uye maitiro ekuziva nekudzivirira. Vanofanirawo kudzidziswa maitiro ekuchengeta nekutarisira zvakavanzika nemazvo.
- Shandisai mitemo yakasimba yekuchengetedza. Masangano anofanira kushandisa nzira dzakasimba dzekuchengetedza, dzakadai semadziro ekudzivirira moto, masisitimu ekuona kupinda kwedata, uye runyorwa rwekudzora kupinda, kudzivirira masisitimu avo nedata kubva pakuwanikwa kusina mvumo. Vanofanirawo kushandisa chishandiso chekuchengetedza zvakavanzika kuchengetedza nekutarisira zvakavanzika zvakachengeteka.
- Shandisa chishandiso chekuskena kuti uone zvakavanzika pamberi commitkuvaendesa kunzvimbo dzinochengeterwa zvinhu kana kuvaisa mu CI/CD pipelines or IaC configurations. Izvi zvinopa vagadziri vemapurogiramu neDevOps mhinduro ipapo ipapo, zvichidzivirira zvakavanzika kuti zvisapinde munhoroondo yeshanduro kana muzvivakwa zvekugadzira.
- Tarisa masisitimu nema network kuti uone kana paine zviitiko zvinofungirwa. Masangano anofanira kuongorora masisitimu avo nema network kuti aone kana paine zviitiko zvinofungirwa zvinogona kuratidza kurwiswa kwekubuda kwemvura pachivande.
- Iva nehurongwa hwekugadzirisa kurwiswa kwekubuda kwemvura muchivande. Kana paine kurwiswa kwakavanzika kwekubuda kwemvura, masangano anofanira kunge aine hurongwa hwekupindura nekukurumidza uye zvinobudirira. Hurongwa uhwu hunofanira kusanganisira matanho ekudzivirira kukuvara, kuderedza kukanganiswa, uye kuferefeta chiitiko chacho.
Maitiro eXygeni Kudzivirira Kubuda Kwemvura Muchivande
Xygeni Secrets Security mhinduro yakazara inopfuura kungochengetedza zvakavanzika kuti ive nechokwadi chekuti Software Supply Chain yemazuva ano inoramba iripo, yakachengeteka, uye yakasimba. Haisi chishandiso chekuona chete, asi chishandiso che commitkusimbiswa kune mutemo wekuti software haina zvakavanzika, kuburikidza nezvinhu zvakasiyana-siyana zvinochengetedza hupenyu hwekugadzira software.
Mabhenefiti Akakosha uye Zvimiro Xygeni Secrets Security
Xygeni Secrets Security ine mabhenefiti akawanda akakosha uye maficha, anosanganisira:
- Kuonekwa uye kudzivirira panguva chaiyoXygeni inobatanidza neGit hooks kuongorora nekuona zvakavanzika zvisati zvanyorwa commityakatorwa kuenda kunzvimbo dzekuchengetedza. Izvi zvinopa vagadziri mhinduro ipapo ipapo uye zvinodzivirira zvakavanzika kuti zvisapinde munhoroondo yeshanduro.
- Comprehensive scanning: Kugona kweXygeni kuskena kunodarika kufananidza mapatani ekare kuti kuone uye kusimbisa mhando dzakasiyana dzemafomati akavanzika, zvisinei nemutauro, raibhurari, kana puratifomu.
- Kusimbiswa kwehungwaru: Maitiro eXygeni ekuongorora akachenjera anoderedza zvinhu zvisiri zvechokwadi, zvichiita kuti vagadziri vagamuchire zviziviso zvematambudziko akaongororwa chete.
- Ruzivo rwevagadziri vemapurogiramu: Mhinduro yeXygeni isingapindire inovandudza ruzivo rwevagadziri neWebUI inopa ruzivo runoshanda uye inogonesa vagadziri kudzidza nekushandisa nzira dzakanakisisa dzekuchengetedza munguva chaiyo.
- Kutevedzwa kwemitemo uye kutarisisa nguva dzose: Maitiro ekudzivirira eXygeni anobvumira masangano kusimbisa mitemo yakasimba yekuchengetedza mukati mehupenyu hwese hwekuvandudza uye kukurumidza kuona nekugadzirisa chero kukanganisa.
Nekugadzirisa zvikonzero zvinokonzera kubuda kwepachivande uye kupa mhinduro yakazara inobatanidza kuchengetedzeka mukuita kwekuvandudza, Xygeni inobatsira masangano kuchengetedza zvakavanzika zvavo kubva pakuwanikwa kusina mvumo.
Heano mimwe mienzaniso chaiyo yekuti Xygeni inogona kubatsira sei masangano kudzivirira kubuda pachena kweruzivo rwepachivande:
- Developer commitmakiyi eAPI enzvimbo yekuchengetedza kodhi yeruzhinji: Kubatanidzwa kweXygeni's Git hook kunoona makiyi eAPI asati aiswa commityakamiswa uye inomisa commit, kudzivirira kufumurwa kwezvakavanzika.
- Murwisi anoshandisa mukana wekuwana mafaira ekugadzirisa: Kuskena kwakazara kweXygeni kunoona data rakakosha mumafaira ekugadzirisa uye kunozivisa sangano, zvichiita kuti rikwanise kugadzirisa dambudziko racho uye kudzivirira murwisi kuti asabe data kana rikabatwa zvisina kunaka.
Maitiro eXygeni ekutsvaga zvakavanzika zvisina magwaro chishandiso chakakosha kune chero sangano rinoda kuchengetedza zvakavanzika zvaro kubva pakuwanikwa zvisina mvumo. Nekushandisa Xygeni, masangano anogona kuderedza njodzi yekusangana nekurwiswa kwakavanzika uye kudzivirira data ravo kubva mukubiwa.
Kana iwe uchida rumwe ruzivo nezve Leak Secret Kurwiswa uye maitiro ekudzivirira, kumbira rubatsiro kusangana nechikwata chedu uye vachagadzirisa kusava nechokwadi kwako kwose.
