چطور جلوی نشت Secret در کار با عامل‌های کدنویسی را بگیریم؟

Secret را از زمینه عامل حذف کنید، دسترسی را زمان‌مند و وظیفه‌محور کنید و ورودی، خروجی، log و artifact را هم‌زمان کنترل کنید.

پاسخ کوتاه

مطمئن‌ترین Secret آن است که عامل هرگز نمی‌بیند. مقدار واقعی را با placeholder جایگزین کنید، فایل‌های حساس را از Context خارج کنید و برای عملیات ضروری از اعتبارنامه کوتاه‌عمر با Scope محدود استفاده کنید.

گردش‌کار پیشنهادی

1. انواع Secret و محل‌های حضور آن‌ها در کد، config، CI، log و مستندات را فهرست کنید.
2. فایل‌های .env، کلید خصوصی، dump و خروجی Production را از Context و artifact حذف کنید.
3. اسکن Secret را پیش از Commit و در CI اجرا کنید.
4. برای Runtime از تزریق امن و اعتبارنامه کوتاه‌عمر استفاده کنید.
5. خروجی ترمینال و log عامل را Redact کنید و دسترسی مشاهده را محدود سازید.
6. برای نشت احتمالی Runbook لغو، چرخش، بررسی log و اطلاع‌رسانی داخلی داشته باشید.

مثال اجرایی

به‌جای فرستادن connection string واقعی برای بازتولید خطا، schema و نمونه داده ساختگی بدهید. اگر اتصال لازم است، حساب موقت فقط‌خواندنی روی محیط غیرProduction بسازید و پس از نشست لغوش کنید.

چطور نتیجه را راستی‌آزمایی کنیم؟

یک آزمون canary با مقدار غیرواقعی می‌تواند نشان دهد آیا Secret در prompt، log، diff یا artifact بازتاب پیدا می‌کند؛ از Secret واقعی برای این آزمون استفاده نکنید.

خطاهای رایج

انتقال Secret از فایل به environment variable به‌تنهایی کافی نیست؛ متغیر محیطی ممکن است در dump یا log دیده شود. شیوه تزریق، دامنه فرایند و پاک‌سازی نیز مهم‌اند.

جایگاه این مطلب در مسیر یادگیری

کنترل اعتبارنامه را با اتصال امن مخزن خصوصی شروع و در سطح سازمان با چک‌لیست حاکمیت AI تثبیت کنید.

منابع و محدودیت

راهنمای OWASP بر چرخه عمر Secret، حداقل دسترسی، چرخش و خطر hardcode و log تأکید دارد. جزئیات ابزار مدیریت Secret باید از مستند رسمی همان ابزار گرفته شود. راهنمای مدیریت Secret در OWASP.

جمع‌بندی

امنیت Secret با یک فایل ignore حل نمی‌شود؛ باید مسیر کامل ورود، مصرف، ثبت، خروج و ابطال اطلاعات حساس طراحی شود.