Новый инструмент с открытым исходным кодом под названием Betterleaks может сканировать каталоги, файлы и git-репозитории и обнаруживать действительные секреты с использованием стандартных или настраиваемых правил.
Сканеры секретов — это специализированные утилиты, которые прочесывают репозитории в поисках конфиденциальной информации, такой как учетные данные, ключи API, закрытые ключи и токены, которые разработчики случайно зафиксировали в исходном коде.
Поскольку злоумышленники часто сканируют конфигурационные файлы в публичных репозиториях на предмет конфиденциальных данных, этот тип утилит может помочь обнаружить секреты и защитить их до того, как их найдут атакующие.
Новый проект Betterleaks задуман как более продвинутый преемник Gitleaks и поддерживается той же командой при поддержке Aikido, бельгийской компании, предоставляющей платформу для обеспечения безопасности цикла разработки.
Betterleaks разработан Заком Райсом, руководителем отдела сканирования секретов в Aikido Security, который также является автором популярного Gitleaks с 26 миллионами загрузок на GitHub и более чем 35 миллионами pull’ов в Docker и GitHub Container Registry (GHCR).
“Betterleaks — это преемник Gitleaks. Мы убираем «git» и ставим «better» (лучше), потому что это именно то, что он есть — лучше“, — говорит Райс.
Betterleaks был создан после того, как Райс потерял полный контроль над Gitleaks, разработку которого он начал восемь лет назад. Список функций нового инструмента включает:
- Проверка, определяемая правилами, с использованием CEL (Common Expression Language)
- Сканирование эффективности токенов на основе токенизации BPE, а не энтропии, с достижением 98,6% полноты по сравнению с 70,4% с энтропией на наборе данных CredData
- Чистая реализация на Go (без зависимостей CGO или Hyperscan)
- Автоматическая обработка дважды/трижды закодированных секретов
- Расширенный набор правил для большего числа провайдеров
- Параллельное сканирование Git для более быстрого анализа репозиториев
Разработчик также сообщил о дополнительных функциях, запланированных для следующей версии Betterleaks, таких как поддержка дополнительных источников данных помимо Git-репозиториев и файлов, анализ с помощью LLM для лучшей классификации секретов, больше фильтров обнаружения, автоматическая отмена секретов через API провайдеров, сопоставление разрешений и оптимизация производительности.
Что касается управления проектом, Райс поясняет, что он использует лицензию MIT с открытым исходным кодом и поддерживается тремя дополнительными людьми помимо него, включая контрибьюторов из Royal Bank of Canada, Red Hat и Amazon.
Райс подчеркнул, что философия дизайна Betterleak сочетает в себе ориентированное на человека использование с учетом рабочих процессов ИИ-агентов, включая функции CLI, оптимизированные для автоматизированных инструментов, сканирующих код, сгенерированный ИИ.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Bill Toulas
