Uklonite tajne iz zapisa i HAR datoteka prije nego što ih podijelite

"Možete li mi poslati HAR datoteku?" je razuman zahtjev inženjera za podršku i opasna stvar koju treba bez razmišljanja ispuniti. HAR izvoz je kompletna snimka sesije preglednika: svaki zahtjev, svako zaglavlje odgovora, svaki poslani kolačić, a često i tijela odgovora. Predaja jedne neuređene daje primatelju mogućnost da se ponaša kao vi na bilo kojem mjestu u toj snimci, sve dok te sesije žive.

Isto se odnosi, manje očito, na isječke dnevnika koje ljudi cijeli dan lijepe u tikete, Slack teme i prozore za chat. Vrijedi imati rutinu.

Što se zapravo nalazi u HAR datoteci

HAR je JSON i po dizajnu je iscrpan. U normalnom izvozu pronaći ćete:

• Sesijski kolačići za svaku dotaknutu domenu, u cijelosti, kako je poslano. Ovo je ono veliko — sesijski kolačić je vjerodajnica nositelja i primatelju nije potrebna vaša lozinka da bi ga koristio.
• Authorization zaglavlja, uključujući tokene nositelja i vjerodajnice osnovne autentifikacije, koje je trivijalno moguće dekodirati.
• Tokeni u nizovima upita. Veze za ponovno postavljanje lozinke, potpisani URL-ovi, API ključevi proslijeđeni kao parametri, OAuth kodovi u tijeku.
• Tijela zahtjeva. Sve što ste upisali u obrazac tijekom snimanja, uključujući obrazac za prijavu ako je snimanje počelo prije nego što ste se prijavili.
• Tijela odgovora. Ovisno o opcijama izvoza, stvarni podaci — evidencija korisnika, detalji računa, interni API korisni učinci.
• Sve ostalo što ste imali otvoreno. HAR je po kartici preglednika, ali analitički pratioci, promet proširenja i pozadinska osvježavanja iz drugih usluga također ulaze u njega.

The Sredstvo za čišćenje HAR datoteka preuzima izvoz i uklanja dijelove koji nose vjerodajnice — kolačiće, zaglavlja za autentifikaciju, tokene — dok strukturu zahtjeva i odgovora ostavlja netaknutom, što je ono što osoba koja otklanja pogreške u vašem problemu zapravo treba. Zalijepite, uzmite očišćenu datoteku, priložite je.

Pogledajte što šaljete

Dezinficirati sjenilo bolje je nego ne dezinficirati, ali korisna navika je prvo gledati. Kopirajte zaglavlja sumnjivog zahtjeva iz svojih razvojnih alata i prođite kroz Parser HTTP zaglavlja: rastavlja neobrađeni blok u parove ime/vrijednost koje možete pročitati, što čini očiglednim kada postoji X-Internal-Auth ili zaglavlje tokena specifičnog dobavljača koje generički obrazac redakcije ne bi prepoznao kao tajnu.

Kolačići zaslužuju svoj izgled. Zalijepite a Cookie ili Set-Cookie linija u raščlanjivač kolačića i dobivate svaki kolačić s njegovim atributima — HttpOnly, Secure, SameSite, istek. To je provjera uređivanja ("koji su od ovih tokeni sesije?") i sigurnosni pregled u isto vrijeme: kolačić sesije bez HttpOnly ili s rokom trajanja od godinu dana je nalaz za sebe i već ga gledate.

Izlaz terminala ima dva problema

Zalijepljeni zapisnici terminala nose tajne — nizove povezivanja, tokene u curl naredbama, ispise okruženja — a također nose ANSI izlazne sekvence. To su razlozi u koje se šareni balvan pretvara ESC[0;32m buka kada padne na ulaznicu i otežavaju čitanje teksta, a vama teško pretraživanje. The ANSI skidač uklanja boje i kodove za kontrolu kursora i ostavlja tekst.

Onda uredi. The uređivač podataka pronalazi kategorije koje se ponavljaju — adrese e-pošte, IP adrese, telefonske brojeve, brojeve kartica, nizove u obliku ključa — i dosljedno ih zamjenjuje, tako da se dnevnik i dalje čita kao koherentan trag umjesto da postane zid [REDACTED]. Dosljednost je važna kada otklanjate pogreške: ako se isti korisnički ID posvuda zamijeni istim rezerviranim mjestom, čitatelj još uvijek može pratiti jedan zahtjev kroz pedeset redaka.

Uparivanje uzorka neće otkriti tajnu koja izgleda kao običan tekst, stoga pročitajte rezultat prije nego što ga pošaljete. Interna imena hostova, imena kupaca u poljima slobodnog teksta i staze datoteka koje sadrže korisnička imena tri su stvari koje prežive svaki automatizirani prolaz.

Redakcija nije rotacija

Najvažnija točka, koju ljudi preskaču: ako je vjerodajnica već poslana nekamo, nije trebala otići, njezino uklanjanje iz dokumenta ne čini ništa. Primatelj ga može imati. Može biti u arhivi e-pošte, sustavu ulaznica, pozadini chata, nečijoj lokalnoj mapi za preuzimanje ili zapisima dobavljača modela.

Rotirati. Poništite sesiju, opozovite token, prebacite API ključ. Zatim očistite datoteku. Tim redom, jer čišćenje traje minutu, a rotacija je dio koji zapravo zatvara ekspoziciju.

Lijepljenje u prozor za chat je objavljivanje

Otklanjanje pogrešaka s pomoćnikom sada je normalno, a praćenje hrpe s nizom veze u njemu ide trećoj strani čim pritisnete Enter. Ovisno o proizvodu i planu, taj tekst može biti zadržan, pregledan od strane ljudi ili korišten za obuku. Tretirajte bilo koje lijepljenje u hostirani model kao prijenos vanjskoj strani - jer to je ono što jest - i očistite ga točno kao što biste očistili privitak vanjske e-pošte.

Ovo je slučaj kada lokalni alati nisu preferencija, već cijela poanta: svaki ovdje naveden alat radi u vašem pregledniku, tako da se neredigirana verzija datoteke nikada ne učitava ni na što na putu do čišćenja. Čišćenje dnevnika koji nosi tajne lijepljenjem na web mjesto koje ga obrađuje na poslužitelju znači da je tajna već otišla, kako god očišćeni izlaz izgledao.

Kontrolni popis koji vrijedi prikvačiti

1. Snimite HAR u privatnom prozoru s otvorenom samo relevantnom karticom i počnite snimati nakon ulogirali ste se.
2. Provedite izvoz kroz dezinfekciju.
3. Otvorite očišćenu datoteku i potražite je token, secret, key, auth, password i vlastita imena domena.
4. Skinite ANSI kodove s bilo kojeg izlaza terminala, a zatim redigirajte identifikatore.
5. Pročitajte rezultat od kraja do kraja. Kraće je nego što mislite.
6. Rotirajte sve što je bilo uživo u izvorniku.
7. Pošaljite putem kanala koji ističe, a ne putem kanala koji se zauvijek arhivira.

Šest minuta rada protiv curenja vjerodajnica koje bi inače stajale u redu čekanja na neodređeno vrijeme.