시크릿 마스킹 도구

스캐너가 찾는 것 — 그리고 판단하는 방법

대부분의 비밀은 공격이 아니라 도움을 주려는 마음에서 샙니다. 누군가 로그를 티켓에 붙이고, 설정 파일을 채팅에 붙이고, curl 명령을 포럼 글에 붙이면 — 마침 그 안에 있던 자격 증명도 함께 이동하여, 텍스트를 색인하고 전달하고 영원히 보관하는 시스템으로 들어갑니다. 이 페이지는 그 붙여넣기 직전의 멈춤입니다. 텍스트를 입력하거나 드롭하면 입력하는 동안 스캔이 실행됩니다: 개수 밴드가 유형별로 발견을 합산하고, 미리보기가 각 적중을 그 자리에서 강조하며 값을 마스킹하고, 발견 표가 유형, 마스킹된 형태, 줄 번호를 나열하며, 아래의 마스킹된 복사본이 각 적중을 하나의 표식 [REDACTED] 로 교체하여 복사하거나 .txt 파일로 다운로드할 준비를 합니다.

탐지의 첫 번째 층은 형태입니다. 실제 공급자의 실제 자격 증명은 알아볼 수 있는 형태를 가지며, 스캐너는 주요한 것들을 압니다: AWS 액세스 키, 클래식 형태와 세분화된 형태의 GitHub 토큰, Stripe 비밀 키와 제한 키, OpenAI 프로젝트 키와 일반 키, Anthropic 키, Google API 키, Slack 토큰. 개인 키 블록은 BEGIN 줄부터 END 줄까지 통째로 하나의 적중으로 포착됩니다. 블록의 일부만 마스킹하면 사용할 수 있는 키가 남기 때문입니다. JSON Web Token은 세 개의 base64url 세그먼트 구조로 인식되고, 카드 번호는 Luhn 체크섬을 통과해야만 표시되므로, 평범한 주문 번호와 타임스탬프는 조용히 지나갑니다.

엔트로피, 자리 표시자, 그리고 정직한 한계

두 번째 층은 공급자 형태가 없는 비밀을 다룹니다: password = …, api_key: …, client_secret = … 같은 할당입니다. 맨 키워드만으로는 아무것도 증명할 수 없으므로 값은 두 개의 문을 더 통과해야 합니다 — 최소 열두 문자, 그리고 문자당 최소 3.2비트의 섀넌 엔트로피. 무작위 키는 쉽게 통과하고 평범한 단어는 떨어집니다. 자리 표시자 값은 설계상 제외됩니다: example, test, dummy, xxx, your-, placeholder, changeme 를 포함하는 것은 모두 문서이지 자격 증명이 아니며, 그것을 표시하면 스캐너를 무시하도록 훈련될 뿐입니다. 형태가 겹치는 곳에서는 구체적인 패턴이 이깁니다: 변수에 할당된 Stripe 키는 한 번만, Stripe 키로 보고됩니다.

두 가지 발견 유형은 시스템이 아니라 사람을 보호합니다. 이메일 주소는 개인 데이터로 표시됩니다. 고객 주소로 가득한 티켓은 비밀번호가 등장하지 않아도 개인정보 사고이기 때문입니다. 카드 번호는 숫자가 Luhn을 통과할 때만 표시됩니다. Luhn은 모든 진짜 카드 번호에 내장된 체크섬이며, 단지 길고 숫자처럼 보일 뿐인 청구서 번호, 추적 코드, Unix 타임스탬프를 스캐너가 무시할 수 있게 하는 것도 같은 검사입니다. 화면에서는 각 값이 최대 처음 네 문자까지만 마스킹되므로, 어깨 너머로 보는 사람이나 스크린샷은 비밀의 유형과 위치는 알아도 비밀 자체는 결코 알지 못합니다. 짧은 값은 아무것도 보여주지 않습니다. 전체 값은 페이지에서 결코 떠나지 않는 원본 텍스트 안에만 존재합니다.

마스킹 도구를 보장이 아니라 더 안전한 공유 습관의 한 단계로 사용하세요. 로컬에서 마스킹하고, 마스킹된 복사본을 공유하며, 실제 비밀은 — 비밀이 정말로 손을 바꿔야 할 때 — 시크릿 관리자나 만료되는 공유 링크를 통해 보내고, 마스킹된 텍스트와 같은 티켓이나 채팅으로는 절대 보내지 마세요. 실제 자격 증명이 이미 어딘가에 마스킹 없이 붙여넣어졌다면, 메시지를 삭제하는 것만으로는 부족합니다: 복사본, 색인, 알림이 이미 존재할 수 있으므로 그 자격 증명을 교체하고 예전 것을 공개된 것으로 취급하세요. 동반 기사 붙여넣기 전에 비밀을 마스킹하세요는 그 흐름을 온전히 다룹니다. HAR 분석기는 브라우저 캡처에 대해 같은 일을 하고, .env 파서는 커밋하기 전에 설정 파일을 검사합니다.

탐지 라이브러리를 쉬운 말로

자주 묻는 질문