在SLSA框架内检测和修复秘密的重要性
内容提要
泄露的凭证（如API密钥和密码）是黑客获取数据的简单途径。GitGuardian发现2023年在GitHub上有超过1270万个硬编码凭证。为减少风险，建议自动扫描和替换凭证，确保版本控制中不包含敏感信息。使用GitGuardian和TruffleHog等工具可以帮助识别和处理这些问题。
延伸解读
SLSA框架下的新风险：构建来源文件中的秘密
SLSA框架通过证明和构建来源增强软件供应链安全，但构建来源文件在记录构建过程时，可能包含API密钥或认证令牌。即使使用秘密管理平台，秘密在运行时也会被加载，从而可能出现在日志和证明中。硬编码凭证更会 guaranteed 出现在所有日志和证明中，增加泄露风险。
自动化检测与去标识化：降低秘密泄露的关键
为防止攻击者从SLSA文档中读取明文凭证，需自动化扫描和去标识化。使用GitGuardian、TruffleHog等工具扫描源代码、配置文件和构建产物，识别硬编码秘密。在构建过程中自动将检测到的秘密替换为占位符，如<Redacted>，并确保在文件写入磁盘前完成。
版本控制实践：防止秘密进入代码库
严格的版本控制实践可防止秘密被提交到仓库。实施预提交钩子，在代码提交前扫描秘密。这有助于避免硬编码凭证进入代码库，从而减少在SLSA证明文件中泄露的风险。结合自动化扫描和去标识化，可显著降低供应链攻击面。
Q&A
为什么泄露的凭证对安全构成威胁？
泄露的凭证如API密钥和密码是黑客获取数据的简单途径，可能导致数据泄露和系统被攻击。
SLSA框架的核心概念是什么？
SLSA框架的核心概念包括证明和构建来源，旨在增强软件供应链的安全性。
如何自动检测和修复代码中的硬编码凭证？
可以使用工具如GitGuardian和TruffleHog自动扫描源代码和构建工件中的硬编码凭证，并在发现后进行替换。
在实施SLSA框架时需要注意什么？
在实施SLSA框架时，需要注意新的攻击面，并确保凭证检测和去标识化的重要性。
GitGuardian在GitHub上发现了多少个硬编码凭证？
GitGuardian在2023年发现GitHub上有超过1270万个硬编码凭证。
如何防止凭证被提交到代码库中？
可以实施严格的版本控制实践，使用预提交钩子扫描凭证，防止凭证被提交到代码库中。
