Detección de secretos en adjuntos

Hola.

Gestionamos una comunidad de soporte donde los usuarios a menudo suben archivos de registro. Fomentamos las discusiones de soporte abiertas siempre que sea posible y solo excepcionalmente enviamos mensajes privados para recopilar registros (cuando creemos que hay mucho valor en tener los registros sin anonimizar o es una situación novedosa que nos gustaría depurar lo antes posible).

Hemos encontrado un problema recurrente: los usuarios exponen inadvertidamente “secretos” (tokens) en sus archivos adjuntos.

Esto nos pone en una posición delicada. Tenemos que informar a los usuarios sobre los tokens comprometidos y educarlos sobre las prácticas de intercambio seguras, al tiempo que intentamos mantener un equilibrio entre el soporte abierto y la confidencialidad (sin difuminar las líneas entre nuestro soporte profesional confidencial y el soporte comunitario).

Nos encantaría ver una función que escanee los archivos adjuntos en busca de secretos, similar a la funcionalidad de escaneo antivirus existente (que utilizamos). Idealmente, esta función advertiría a los usuarios cuando se detecten secretos en sus cargas y, posiblemente, alertaría a los administradores sobre posibles exposiciones.

Sé que no es una tarea precisamente pequeña, nos dedicamos a escanear código en busca de secretos, ¡pero tal vez haya algún avance!

¿Qué opinas?

3 Me gusta

Si tienes moderadores bastante activos, podrías hacer que lo editen y luego oculten el historial de edición. Estoy en un foro donde tenemos ese tipo de problema también. ¿Hay algo que haga que todos los tokens sean similares de alguna manera? Quizás podrías usar Palabras vigiladas con Regex.

2 Me gusta

Creo que las palabras observadas no funcionan en los archivos adjuntos.

3 Me gusta

Gracias, Colin, me gusta mucho esta solicitud de función. Como señalas, no es una tarea particularmente pequeña, pero parece muy valiosa. Y el plugin antivirus puede servir de modelo sobre cómo abordar la implementación de esto.

8 Me gusta

No es una mala idea cuando la gente publica sus registros directamente en la publicación (usando texto formateado), pero la mayoría de las veces encontramos cosas ocultas en archivos de registro adjuntos.

3 Me gusta

¡Gracias, Penar!

Sería negligente no enlazar a nuestro motor de código abierto para detectar secretos.

SonarSource/sonar-text

Solo como ejemplo, toma archivos de configuración (como sonarqube.yaml, que describen los tokens que más me preocupan).

¡Pero probablemente hay muchas otras formas de implementar algo como esto!

6 Me gusta