在接下来的几周内,我们将推出一个名为秘密掩蔽的新功能。这将使项目和上下文掩盖环境变量,并阻止它们在用户构建中呼应。我们刚刚启动了所有用户,在接下来的几周内开始了增量卷展览,此功能将在所有资源/ executor类型上生活。

这对我有什么改变?

秘密掩蔽,如果你无意中回声或者打印,环境变量或上下文,我们替换它xxxxx.。在UI打印出构建日志之前,Circleci扫描日志的输出,以确保没有打印的秘密与项目名称或上下文环境变量匹配。

你为什么建造它?

我们的客户已要求保护危险秘密曝光,我们现在很高兴能够提供这种额外的保护水平。我们将其视为前进的主动和智能安全措施的重要一步。例如,在开源项目中,无意识的秘密泄漏可能是一个很大的担忧,例如,有许多未知的贡献者,或者在有很多人在储存库上工作的大公司。在这两种情况下,意外泄漏的秘密的成本很高。

使用秘密掩模的安全提示

从Circleci中的权限透视中,具有访问构建的用户被视为可信赖。出于这个原因,秘密掩蔽对限制背景由于它限制了被允许授权访问受限制的上下文组的信任用户集。如果用户已访问源代码并可以注入恶意命令,则秘密屏蔽不会对这些用户正在运行的命令提供Quotfire防御。

秘密掩蔽在一个有信任参与者所涉及的模型中运作良好。有些时候构建脚本可以轻松且意外地在提交和输出构建机密中混淆。虽然秘密掩蔽在防止人们不经意地打印出秘密时有效,但它不会阻止任何人使用SSH并运行回声手动。它也不会阻止某人写作或使用秘密并在其他地方上传值。

如果您正在处理不受信任的演员,则切换到一个安全叉模型不通过秘密或者限制允许使用注入的秘密运行作业的演员。

通过使用限制的上下文和秘密掩蔽,可以通过防止有意和无意的秘密泄漏来实现相当大的安全改进。

一些塔拉斯意识到:

  • 低于4个字符的秘密将不会被屏蔽。
  • 秘密与价值观真正真正不会被掩盖。
  • 当您陷入构建时,这不会阻止秘密显示。

如果您没有看到您的团队已经提供的秘密掩蔽,您应该在接下来的几周内获得它。启用后,您将自动可用。与此同时,如果泄漏秘密,请尽快旋转秘密。

首次访问

如果您希望您的团队首先在访问列表上,请在此处注册:https://forms.gle/ncmgri9bwshslh2k9.