認証情報の盗難と、秘密情報の漏えい

#秘密情報は、どこから漏れるのか

API キー、アクセストークン、秘密鍵のような「秘密情報」は、持っているだけで、持ち主になりすませる文字列です。攻撃者は、パスワードを破る代わりに、誰かがすでに置き忘れた秘密情報を探します。置き忘れは、たいてい次の 4 か所で起きます。

どの場合も、攻撃者は侵入する必要がありません。公開されている場所を読むだけで、秘密情報が手に入ります。

#文字列の中の秘密情報を見つける

RoamSwitch の API キー・秘密鍵の検出 は、文章やファイルの中から、既知の形式の API キーや秘密鍵を探します。

roamswitch audit-secrets "aws_access_key_id=AKIAIOSFODNN7EXAMPLE"

1件の機密情報・APIキー露出を検出しました。コミットや外部共有前に削除してください。

  ⚠️  AWS Access Key ID (AWS): 行番号 1
      マスク済み: AKIAIO...MPLE (エントロピー: 3.68)
      ↳ 推奨対応: AWS IAMコンソールからアクセスキーを非アクティブ化してください。

#公開するファイルの中の秘密情報を見つける

Web サイトのビルド成果物は、そのまま世界中に公開されます。公開されるフロントエンドの秘密の検査 は、公開するフォルダを調べます。

mkdir -p dist
printf 'const cfg = { accessKeyId: "AKIAIOSFODNN7EXAMPLE" };\n//# sourceMappingURL=app.js.map\n' > dist/app.js
echo '{"version":3,"sources":["src/app.ts"],"mappings":""}' > dist/app.js.map
roamswitch scan-frontend ./dist
echo "終了コード: $?"

調べた場所: .(ファイル 2 件)
- 機密情報(APIキー・秘密鍵など): app.js:1 AWS AKIAIO...MPLE
- ソースマップ(元のソースコードが読めてしまう): app.js.map
2 件(機密情報 1、トークン 0、ソースマップ 1)
見つかったキーやトークンは、すでに公開したなら流出したものとして、発行元で無効にして作り直してください。秘密はビルドに含めず、サーバー側に置いてください。ソースマップは、本番に置かないか、アクセスを制限してください。
終了コード: 1

#見つかったとき、最初にすること

順番が大切です。

1. 発行元で、その鍵を無効にする。先に Git の履歴を直したり、ファイルを消したりしないでください。その間も、鍵は使えるままです
2. 使われた形跡を調べる。発行元の操作ログ(AWS なら CloudTrail など)で、身に覚えのない操作がないかを確かめます
3. 新しい鍵を発行して、差し替える。差し替えたあと、正しく動くかを確かめます
4. ソースから取り除く。秘密情報はコードやビルドに含めず、動かす側(サーバーの環境変数や、秘密情報を管理する仕組み)に置きます
5. 再発を防ぐ。コミットの前や、ビルドの最後に、検査が自動で動くようにします

#見えない部分

#次に学ぶこと

• 鍵を盗もうとする動きは、認証情報のおとり などの機能で見張っています(この教材では、これから取り上げます)
• 依存パッケージを通じて秘密情報が盗まれる経路は、サプライチェーン攻撃 で学べます