Scanner de segredos vazados

Quer vigiar isto continuamente? Vigie grátis com o myeventwatch — alertas de expiração e de indisponibilidade, sem cartão.

O que conta como exposto — e o que não conta

O scanner sonda uma lista publicada de caminhos conhecidos —/.env e as suas variantes habituais, /.git/HEAD e /.git/config, ficheiros de configuração, arquivos de cópia e ficheiros de chaves— com simples pedidos GET públicos, exatamente os que um atacante, um motor de busca ou um visitante curioso poderia fazer. Um caminho só conta como exposto quando o conteúdo da resposta corresponde ao que esse ficheiro deveria ser: um ficheiro env tem de poder ser analisado como linhas chave–valor, um HEAD do Git tem de parecer uma referência do Git. Muitos servidores respondem 200 a cada caminho —fallbacks de aplicações de página única, páginas de erro personalizadas, reescritas apanha-tudo— e um 200 com o HTML da sua página inicial não é um vazamento. Esses caminhos são listados à parte no resultado como responderam mas sem confirmação, para que julgue você mesmo; esta ferramenta nunca chama vazamento a um 200 sem confirmação, e nenhum scanner que use deveria fazê-lo.

Além das sondagens de ficheiros, o scanner obtém a própria página e até cerca de quinze dos seus pacotes JavaScript e procura neles formas de segredos conhecidos: identificadores de chaves de acesso à nuvem, cabeçalhos de chave privada, atribuições genéricas de chaves de API e tokens, cadeias de ligação a bases de dados e padrões semelhantes de sinal forte. O código do lado do cliente é público por definição — tudo o que é enviado para um navegador pode ser lido por cada visitante —, por isso uma credencial real encontrada num pacote está exposta mesmo que nenhum ficheiro estivesse mal configurado. Os achados são relatados por tipo, por ficheiro de origem e por número de ocorrências, com o valor mascarado até um máximo dos seus quatro primeiros caracteres: suficiente para reconhecer que chave é, nunca suficiente para quem leia o relatório a usar. O segredo completo nunca é obtido, guardado ou mostrado neste relatório.

Limites, ditos com clareza

Isto é uma sondagem pública e só de leitura de caminhos conhecidos, e os seus limites fazem parte do resultado. Só pede os caminhos da lista publicada — um segredo num ficheiro com um nome invulgar não será encontrado. Analisa a página de chegada e cerca de quinze pacotes de scripts, não cada recurso de um site grande, e não inicia sessão, não rastreia após autenticação, não força nomes de ficheiros nem testa nada que já não seja alcançável por um GET sem autenticação. As análises estão limitadas a 5 por hora e visitante e os resultados ficam em cache 10 minutos, por isso uma nova análise dentro dessa janela pode mostrar o veredito em cache. Uma análise também tem um orçamento de tempo: quando um alvo lento o esgota, o resultado é marcado como parcial e diz isso mesmo — trate um resultado limpo parcial como «não verificado por completo», não como «limpo».

Se a análise encontrar alguma coisa, a ordem do trabalho importa mais do que a rapidez a apagar. Rode primeiro a credencial — revogue a chave exposta e emita uma nova — porque já pode haver cópias em caches, arquivos e mãos alheias; apagar o ficheiro para os novos downloads mas não faz nada por uma chave que já saiu. Depois retire ou bloqueie o ficheiro no servidor, limpe as caches de CDN e proxies que possam guardar uma cópia e reveja os seus registos de acesso à procura de pedidos anteriores ao mesmo caminho. O artigo complementar, ficheiros .env expostos e chaves vazadas, percorre o manual da primeira hora que os atacantes usam e a sequência completa de recuperação, por ordem.

As verificações vizinhas completam o quadro: a auditoria de scripts de terceiros cobre os scripts externos que as suas páginas carregam — um risco de cadeia de fornecimento distinto do dos seus próprios ficheiros vazados — e a verificação de cabeçalhos de segurança classifica as proteções de navegador que as suas respostas transportam. Uma nota sobre o método: um resultado limpo significa que nenhum dos caminhos sondados respondeu com conteúdo correspondente e que nenhum padrão de segredo conhecido apareceu nos ficheiros analisados, no momento da análise e a partir da posição de rede do verificador. É evidência sobre esses caminhos e ficheiros, não uma garantia sobre todo o servidor — mantenha os ficheiros fora da raiz web desde o início e volte a analisar após cada alteração de implementação que toque no que o seu servidor publica.

A lista de sondagem, publicada

Perguntas frequentes