Segreti nel codice e nei log

Una chiave inserita una volta nel repository resta nella cronologia anche dopo che il file è stato modificato. Una password stampata in un log può essere letta da chiunque possa leggere il log.

Dove guardiamo

• Repository di codice, compresi i vecchi commit e i fork.
• File di configurazione e dump dell'ambiente lasciati sui server.
• Output di build e di rilascio.
• Log applicativi e di errore.
• Codice front-end, che chiunque può leggere.

Cosa fare

1. Prima ruota. Se un segreto è stato esposto, presumi che sia stato copiato e sostituiscilo.
2. Tieni i segreti in un archivio dedicato, non nel codice.
3. Scansiona i repository in automatico prima di accettare le modifiche.
4. Fai in modo che i log evitino per progetto i valori sensibili.
5. Dai a ogni segreto i permessi minimi necessari, così una fuga ha una portata limitata.

Togliere un segreto dal codice senza ruotarlo nasconde soltanto il problema.