利用已知生产密钥嗅探工业代码库中的密钥泄露
密码学与安全
2020-08-14 v1 软件工程
摘要
代码库中泄露的密钥（如密码和 API 密钥）导致了大量安全漏洞。现有启发式技术（如模式匹配、熵分析和机器学习）可用于检测此类泄露并向开发者告警。然而，启发式方法天然存在误报，需要人工甄别，并可能导致开发者受挫。我们提出使用已知生产密钥作为真实基准，用于嗅探代码库中的密钥泄露。我们开发了利用已知密钥对整个代码库进行嗅探以及持续嗅探差异代码修订的技术。我们揭示了在工业环境中这两种情况下嗅探已知密钥时所呈现的不同性能与安全需求。
引用
@article{arxiv.2008.05997,
title = {Sniffing for Codebase Secret Leaks with Known Production Secrets in Industry},
author = {Zhen Yu Ding and Benjamin Khakshoor and Justin Paglierani and Mantej Rajpal},
journal= {arXiv preprint arXiv:2008.05997},
year = {2020}
}