Détection de secrets dans les pièces jointes

Salut !

Nous gérons une communauté de support où les utilisateurs téléchargent souvent des fichiers journaux. Nous encourageons les discussions de support ouvertes autant que possible et nous n’envoyons des messages privés qu’exceptionnellement pour collecter des journaux (lorsque nous pensons qu’il y a beaucoup de valeur à avoir les journaux non expurgés ou qu’il s’agit d’une situation nouvelle que nous aimerions déboguer dès que possible).

Nous avons rencontré un problème récurrent : les utilisateurs exposent involontairement des « secrets » (tokens) dans leurs pièces jointes.

Cela nous met dans une position délicate. Nous devons informer les utilisateurs de la compromission des tokens et les éduquer sur les pratiques de partage sécurisé, tout en essayant de maintenir un équilibre entre le support ouvert et la confidentialité (sans brouiller les lignes entre notre support professionnel confidentiel et le support communautaire).

Nous aimerions voir une fonctionnalité qui analyse les pièces jointes à la recherche de secrets, similaire à la fonctionnalité d’analyse antivirus existante (que nous utilisons). Idéalement, cette fonctionnalité avertirait les utilisateurs lorsque des secrets sont détectés dans leurs téléchargements et alerterait éventuellement les administrateurs des expositions potentielles.

Je sais que ce n’est pas une tâche particulièrement facile, nous sommes dans le métier de l’analyse de code à la recherche de secrets, mais peut-être y a-t-il une avancée !

Qu’en pensez-vous ?

3 « J'aime »

Si vous avez des modérateurs très actifs, vous pourriez leur demander de le supprimer, puis de masquer l’historique des modifications. Je suis sur un forum où nous avons également ce genre de problème.
Y a-t-il quelque chose qui rend tous les jetons similaires d’une manière ou d’une autre ? Peut-être pourriez-vous alors utiliser les Mots Surveillés avec Regex ?

2 « J'aime »

Je pense que les mots surveillés ne fonctionnent pas dans les pièces jointes.

3 « J'aime »

Merci, Colin, j’aime beaucoup cette demande de fonctionnalité. Comme vous le notez, ce n’est pas une tâche particulièrement petite, mais elle semble très précieuse. Et le plugin antivirus peut servir de modèle pour la manière de procéder à sa mise en œuvre.

8 « J'aime »

Ce n’est pas une mauvaise idée lorsque les gens publient leurs journaux directement dans le message (en utilisant du texte formaté), mais la plupart du temps, nous trouvons des choses cachées dans des fichiers journaux joints.

3 « J'aime »

Merci Penar !

Je me dois de faire le lien vers notre moteur open-source pour la détection de secrets.

SonarSource/sonar-text

Juste un exemple, il prend en entrée des fichiers de configuration (comme sonarqube.yaml, décrivant les jetons qui me préoccupent le plus).

Mais il existe probablement de nombreuses autres façons de mettre en œuvre quelque chose comme cela !

6 « J'aime »