Olá!\n\nNós mantemos uma comunidade de suporte onde os usuários frequentemente enviam arquivos de log. Nós incentivamos discussões de suporte abertas sempre que possível e apenas excepcionalmente enviamos mensagens privadas para coletar logs (quando achamos que há muito valor em ter os logs não expurgados ou é uma situação nova que gostaríamos de depurar o mais rápido possível).\n\nNós encontramos um problema recorrente: usuários expondo inadvertidamente “segredos” (tokens) em seus anexos.\n\nIsso nos coloca em uma posição delicada. Temos que informar os usuários sobre tokens comprometidos e educá-los sobre práticas seguras de compartilhamento, enquanto tentamos manter um equilíbrio entre suporte aberto e confidencialidade (sem borrar as linhas entre nosso suporte profissional confidencial e o suporte da comunidade).\n\nGostaríamos de ver um recurso que escaneie anexos em busca de segredos, semelhante à funcionalidade de escaneamento AV existente (que usamos). Idealmente, este recurso alertaria os usuários quando segredos fossem detectados em seus uploads e possivelmente alertaria os administradores sobre exposições potenciais.\n\nEu sei que não é uma tarefa particularmente pequena, nós trabalhamos com escaneamento de código em busca de segredos, mas talvez haja algum progresso!\n\nO que você acha?
Se você tiver moderadores bastante ativos, poderá pedir que eles editem, depois ocultem o histórico de edições. Eu participo de um fórum onde também temos esse tipo de problema.
Existe algo que torna todos os tokens semelhantes de alguma forma? Talvez você possa usar Palavras Observadas com Regex?
Acho que palavras observadas não funcionam em anexos.
Obrigado, Colin, gostei muito deste pedido de funcionalidade. Como você observou, não é uma tarefa particularmente pequena, mas parece muito valiosa. E o plugin antivírus pode fornecer um modelo de como implementar isso.
Não é uma má ideia quando as pessoas postam seus logs diretamente na postagem (usando texto formatado), mas na maioria das vezes encontramos coisas escondidas em arquivos de log anexados.
Obrigado, Penar!
Seria negligente de minha parte não vincular ao nosso motor de código aberto para detecção de segredos.
Apenas um exemplo, ele recebe arquivos de configuração (como sonarqube.yaml, descrevendo os tokens com os quais mais me preocupo).
Mas provavelmente existem muitas outras maneiras de implementar algo assim!