シークレットを漏らしてしまった話 / secret-key-exposed

「シークレットを漏らしてしまった話」ぺぺ@Pep299 1

自己紹介ぺぺ@Pep299 https://twitter.com/Pep299 情報系学士卒エンジニア歴7年目 SES（金融系）-> フリーランス -> Web系受託 ->
Web系自社サ Open Source Conference 2021 Kyoto 登壇東京都新型コロナウイルス感染症対策サイトのコントリビュートゲーム（Dead By Daylight、Among Us、ボードゲーム）・ブレイクダンス 2

3行まとめ LINEとTwitter APIのシークレットをうっかりGitHubのPublicリポにpush 一次対応と再発防止策を共有業務中ではなく趣味開発中の話、でも再現性ありそうリポジトリ: https://github.com/pep299/dbd_line_bot 3

ある日のことﾋﾟﾛﾝ「おや？GitHubからメールが…GitGuardian？なんかつよそう」 ? 4

こんなお達しが「シークレットを検知したやで」ｵｰﾏｲｶﾞｰ 5

何が起きた？ IaCのテスト実装時に考慮が足りてなかった AWS CDKのスナップショットテストをするため、修正前のCloudFormation Templateを保持して置く必要がそのTemplateに環境変数のvalueもそのまま埋め込まれる環境変数ダダ漏れ状態でした . .
"Environment": Object { "Variables": Object { "ENV_NAME": "prod", "LINE_CHANNEL_ACCESS_TOKEN": "+RpdU3yDW61DFGfEhltJ02zjYKX65bx1R..." . . 6

一次対応シークレットの無効化、再発行 gitの歴史改変(commitをresetでなかったことにしてforce push) スナップショットテストの値はマスク replace(/^[A-Za-z0-9\+=/]{172}$|^[A-Za-z0-9]{50}$|^[A-Za-z0-9\-] {50}$|^[A-Za-z0-9]{45}$/, "[SEC REMOVED]") .
. "Environment": Object { "Variables": Object { "ENV_NAME": "prod", "LINE_CHANNEL_ACCESS_TOKEN": [SEC REMOVED] . . 7

再発防止策環境変数にシークレットを埋め込まない CFnベストプラクティスにも記載が Secret Manager や System Manager のパラメータストアから都度取得今回TwitterやLINEの課金が発生しないAPIシークレットだったが、AWSのアクセスキー
とかが漏れたら相当やばい IAM Role や IAM Policy 見直してちゃんと権限管理 CIにはアクセスキーを渡さずに OIDC で一時的なトークンを発行し認証忘れた頃にやらかしそうなので、precommit で secret 検知 (まだやれてない…) 8

イメージ Before GitHub Actions CFn Template AWS Lambda クレデンシャル After
GitHub Actions CFn Template AWS Lambda AWS STS AWS System Manager 9

おわりに LINEとTwitter APIのシークレットをうっかりGitHubのPublicリポにpush そんな漏らし方があったのか…ということで共有環境変数は万能ではないそもそも永続的なキーをなるべく避けよう一次対応と再発防止策を共有今回のケースを踏む人は少なそうだが、何事もやらかした時の切り戻しだけは検討しておくこと業務中ではなく趣味開発中の話、でも業務でも再現性ありそう
趣味開発だけども雑にやりすぎず締める所は締めるレビュー通すとかベストプラクティスを守るとかはしておく 10

シークレットを漏らしてしまった話 / secret-key-exposed

シークレットを漏らしてしまった話 / secret-key-exposed

pep299

More Decks by pep299

Other Decks in Technology

Featured

Transcript

「シークレットを漏らしてしまった話」ぺぺ@Pep299 1

自己紹介ぺぺ@Pep299 https://twitter.com/Pep299 情報系学士卒エンジニア歴7年目 SES（金融系）-> フリーランス -> Web系受託 ->

3行まとめ LINEとTwitter APIのシークレットをうっかりGitHubのPublicリポにpush 一次対応と再発防止策を共有業務中ではなく趣味開発中の話、でも再現性ありそうリポジトリ: https://github.com/pep299/dbd_line_bot 3

ある日のことﾋﾟﾛﾝ「おや？GitHubからメールが…GitGuardian？なんかつよそう」 ? 4

こんなお達しが「シークレットを検知したやで」ｵｰﾏｲｶﾞｰ 5

一次対応シークレットの無効化、再発行 gitの歴史改変(commitをresetでなかったことにしてforce push) スナップショットテストの値はマスク replace(/^[A-Za-z0-9\+=/]{172}$|^[A-Za-z0-9]{50}$|^[A-Za-z0-9\-] {50}$|^[A-Za-z0-9]{45}$/, "[SEC REMOVED]") .

イメージ Before GitHub Actions CFn Template AWS Lambda クレデンシャル After