सीक्रेट रिडैक्टर

स्कैनर क्या खोजता है — और यह कैसे तय करता है

अधिकांश रहस्य हमलों से नहीं, मदद करने की इच्छा से लीक होते हैं। कोई लॉग को टिकट में चिपकाता है, कॉन्फ़िग फ़ाइल को चैट में, curl कमांड को फ़ोरम पोस्ट में — और जो क्रेडेंशियल संयोग से अंदर था, वह उसके साथ यात्रा करता है, उन प्रणालियों में जो टेक्स्ट को अनुक्रमित, अग्रेषित और हमेशा के लिए संग्रहीत करती हैं। यह पृष्ठ उस चिपकाने से ठीक पहले का विराम है। टेक्स्ट टाइप करें या छोड़ें, और स्कैन आपके टाइप करते ही चलता है: एक गिनती पट्टी प्रकार के अनुसार निष्कर्षों को जोड़ती है, पूर्वावलोकन हर हिट को उसके स्थान पर हाइलाइट करके उसका मान मास्क करता है, निष्कर्ष तालिका प्रकार, मास्क किया हुआ रूप और पंक्ति संख्या सूचीबद्ध करती है, और नीचे की रिडैक्ट की हुई प्रति हर हिट को एकमात्र चिह्न [REDACTED] से बदल देती है, कॉपी करने या .txt फ़ाइल के रूप में डाउनलोड करने के लिए तैयार।

पहचान की पहली परत आकार है। असली प्रदाताओं के असली क्रेडेंशियल के पहचानने योग्य आकार होते हैं, और स्कैनर मुख्य आकारों को जानता है: AWS एक्सेस कुंजियाँ, क्लासिक और फ़ाइन-ग्रेन्ड दोनों रूपों में GitHub टोकन, Stripe गुप्त और प्रतिबंधित कुंजियाँ, OpenAI प्रोजेक्ट और सामान्य कुंजियाँ, Anthropic कुंजियाँ, Google API कुंजियाँ और Slack टोकन। एक निजी कुंजी ब्लॉक उसकी BEGIN पंक्ति से END पंक्ति तक, एक ही संपूर्ण हिट के रूप में पकड़ा जाता है, क्योंकि कुंजी ब्लॉक के केवल एक हिस्से को रिडैक्ट करने से एक उपयोग योग्य कुंजी बची रहती है। JSON Web Token उनकी तीन-खंड base64url संरचना से पहचाने जाते हैं, और कार्ड नंबरों को चिह्नित होने से पहले Luhn चेकसम पास करना होता है, ताकि साधारण ऑर्डर नंबर और टाइमस्टैम्प शांत रहें।

एंट्रॉपी, प्लेसहोल्डर और ईमानदार सीमाएँ

दूसरी परत उन रहस्यों को कवर करती है जिनका कोई प्रदाता आकार नहीं है: password = …, api_key: … या client_secret = … जैसे असाइनमेंट। एक नंगा कीवर्ड कुछ भी साबित नहीं करता, इसलिए मान को दो और द्वार पार करने होते हैं — कम से कम बारह वर्ण, और प्रति वर्ण कम से कम 3.2 बिट की शैनन एंट्रॉपी, जिसे यादृच्छिक कुंजियाँ आसानी से पास करती हैं और साधारण शब्द विफल होते हैं। प्लेसहोल्डर मान डिज़ाइन से बाहर रखे गए हैं: example, test, dummy, xxx, your-, placeholder या changeme सहित कुछ भी दस्तावेज़ है, क्रेडेंशियल नहीं, और उसे चिह्नित करना आपको स्कैनर को नज़रअंदाज़ करने का प्रशिक्षण देगा। जहाँ आकार ओवरलैप होते हैं, विशिष्ट पैटर्न जीतता है: एक वेरिएबल को सौंपी गई Stripe कुंजी एक बार, Stripe कुंजी के रूप में रिपोर्ट की जाती है।

दो निष्कर्ष प्रकार प्रणालियों के बजाय लोगों की रक्षा करते हैं। ईमेल पते व्यक्तिगत डेटा के रूप में चिह्नित किए जाते हैं, क्योंकि ग्राहक पतों से भरा टिकट एक गोपनीयता घटना है, भले ही कोई पासवर्ड न दिखे। कार्ड नंबर केवल तभी चिह्नित होते हैं जब अंक Luhn पास करते हैं, वह चेकसम जो हर असली कार्ड नंबर में अंतर्निहित है — वही परीक्षण जो स्कैनर को उन चालान नंबरों, ट्रैकिंग कोड और Unix टाइमस्टैम्प को नज़रअंदाज़ करने देता है जो केवल लंबे और संख्यात्मक दिखते हैं। स्क्रीन पर, हर मान अधिकतम उसके पहले चार वर्णों तक मास्क किया जाता है, ताकि कंधे के ऊपर से झाँकने वाला या स्क्रीनशॉट रहस्य का प्रकार और स्थान सीख ले, लेकिन रहस्य स्वयं कभी नहीं; छोटे मान कुछ भी नहीं दिखाते। पूरा मान केवल आपके मूल टेक्स्ट में मौजूद है, जो पृष्ठ को कभी नहीं छोड़ता।

रिडैक्टर को गारंटी के रूप में नहीं, एक सुरक्षित साझा आदत के एक कदम के रूप में उपयोग करें। स्थानीय रूप से रिडैक्ट करें, रिडैक्ट की हुई प्रति साझा करें, और असली रहस्य — जब किसी रहस्य को वास्तव में हाथ बदलना हो — एक सीक्रेट मैनेजर या समाप्त होने वाले साझा लिंक के माध्यम से भेजें, कभी भी रिडैक्ट किए हुए टेक्स्ट वाले उसी टिकट या चैट से नहीं। यदि एक असली क्रेडेंशियल पहले ही कहीं बिना रिडैक्ट किए चिपकाया जा चुका है, तो संदेश हटाना पर्याप्त नहीं है: प्रतियाँ, अनुक्रमणिकाएँ और सूचनाएँ पहले से मौजूद हो सकती हैं, इसलिए उस क्रेडेंशियल को रोटेट करें और पुराने को सार्वजनिक मानें। साथी लेख, चिपकाने से पहले अपने रहस्य रिडैक्ट करें, उस प्रवाह को पूरी तरह से चलता है; HAR विश्लेषक ब्राउज़र कैप्चर के लिए वही काम करता है, और .env पार्सर कॉन्फ़िग फ़ाइलों को आपके कमिट करने से पहले जाँचता है।

सरल शब्दों में पहचान लाइब्रेरी

अक्सर पूछे जाने वाले प्रश्न