Titus: ماسح أسرار عالي الأداء

Titus هو ماسح أسرار عالي الأداء يكتشف بيانات الاعتماد ومفاتيح API والرموز المميزة في الشيفرة المصدرية والملفات وسجل git. يأتي مزودًا بـ 487 قاعدة كشف تغطي مئات الخدمات وأنواع بيانات الاعتماد، مستمدة من NoseyParker وKingfisher. يعمل Titus كأداة سطر أوامر CLI، ومكتبة Go، وإضافة Burp Suite، وإضافة متصفح Chrome — وجميعها تشترك في نفس محرك الكشف ومجموعة القواعد.

صُمم Titus لمهندسي الأمن، ومختبري الاختراق، وفرق DevSecOps، وهو يجمع بين مطابقة التعبيرات النمطية المعجّلة بواسطة Hyperscan/Vectorscan والتحقق المباشر من بيانات الاعتماد للعثور على الأسرار المسرّبة والتحقق منها عبر قاعدة الشيفرة بأكملها.

جدول المحتويات

• لماذا Titus؟
• التثبيت
• البدء السريع
• خيارات الفحص
• تقييم النتائج
• مكتبة Go
• إضافة Burp Suite
• إضافة المتصفح
• البناء من المصدر
• المساهمة
• الترخيص

لماذا Titus؟

• فحص سريع للأسرار: مطابقة التعبيرات النمطية المعجّلة بواسطة Hyperscan/Vectorscan عند توفرها، مع بديل مكتوب بالكامل بلغة Go لضمان قابلية النقل على أي منصة.
• تغطية واسعة لكشف بيانات الاعتماد: 487 قاعدة تكشف مفاتيح API والرموز المميزة وبيانات الاعتماد لـ AWS وGCP وAzure وGitHub وSlack وقواعد البيانات وأنظمة CI/CD ومئات الخدمات الأخرى.
• التحقق المباشر من الأسرار: يتم فحص الأسرار المكتشفة مقابل واجهات API المصدرية الخاصة بها للتأكد مما إذا كانت نشطة، مما يقلل من الإيجابيات الكاذبة ويعطي الأولوية للمعالجة.
• تقييم الخطورة المبني على المخاطر: تحصل كل نتيجة على درجة رقمية (0–100) ومستوى خطورة (info → critical). يتم ضبط الدرجات بناءً على البيانات الوصفية للقواعد الثابتة، وسياق إمكانية الوصول إلى الشيفرة، واستدعاءات API المباشرة التي تقيس نطاق التأثير الحقيقي لبيانات الاعتماد — بحيث تظهر النتائج الأكثر خطورة دائمًا في المقدمة.
• فحص صور الحاويات: افحص صور Docker وOCI مباشرة من أي سجل أو ملف tarball أو دليل تخطيط OCI — دون الحاجة إلى خادم Docker أو ملف تنفيذي.
• واجهات متعددة لكل سير عمل: افحص من سطر الأوامر، أو ضمّنه كمكتبة Go، أو افحص حركة HTTP بشكل سلبي في Burp Suite، أو افحص صفحات الويب في Chrome أثناء اختبار أمن التطبيقات.
• استخراج الملفات الثنائية: استخرج وافحص الأسرار من مستندات Office وملفات PDF والأرشيفات (zip، tar، 7z) وتطبيقات الجوال (APK، IPA) وإضافات المتصفح وغيرها.

التثبيت

نزّل ملفًا تنفيذيًا جاهزًا من صفحة الإصدارات، أو ابنِ من المصدر:

make build

سيكون الملف التنفيذي في dist/titus.

البدء السريع

# Scan a file for secrets
titus scan path/to/file.txt

# Scan a directory for leaked credentials
titus scan path/to/directory

# Scan a public GitHub repository (no token needed)
titus scan github.com/org/repo

# Scan a public GitLab project (no token needed)
titus scan gitlab.com/namespace/project

# Scan git history for secrets in past commits
titus scan --git path/to/repo

# Scan a Docker / OCI image (pulled from a registry — no docker daemon required)
titus scan --docker alpine:latest

# Validate detected secrets against source APIs
titus scan path/to/code --validate

تُكتب النتائج إلى مخزن بيانات (titus.ds افتراضيًا) وتُطبع إلى الطرفية.

الأوامر الفرعية

ينظّم Titus وظائفه في هذه الأوامر الفرعية المتخصصة:

titus analyze # Analyze a credential on demand — detect type, validate, score, and enumerate resources
titus enum    # Enumerate remote services for secrets
titus explore # Interactively explore scan results
titus report  # Generate a report from scan results
titus rules   # Manage detection rules
titus scan    # Scan a target for secrets
titus serve   # Run as streaming server for Burp extension integration
titus version # Show version information

كل أمر فرعي يقبل --help لعرض خياراته الخاصة. لا تزال صيغ titus <provider> على المستوى الأعلى، التي سبقت titus enum <provider>، تعمل، لكنها مخفية ومهملة بدلاً من كونها أسماء مستعارة، لذا تُدرج في المرجع المُولَّد بدلاً من هنا.

يُولَّد المرجع الكامل — كل أمر فرعي واسم مستعار وخيار، بما في ذلك تلك المخفية من --help — في docs/CLI.md.

خيارات الفحص

فحص GitHub وGitLab

افحص المستودعات العامة مباشرةً عبر URL — دون الحاجة إلى رمز API:

# Scan a GitHub repository
titus scan github.com/kubernetes/kubernetes

# Scan a GitLab project
titus scan gitlab.com/gitlab-org/cli

# Full URLs work too
titus scan https://github.com/org/repo
titus scan https://gitlab.com/namespace/project.git

بالنسبة للفحص على مستوى المؤسسة أو على مستوى المستخدم، استخدم الأوامر الفرعية المخصصة:

# Scan all public repos in a GitHub org
titus github --org kubernetes

# Scan all repos in a GitHub org with a token (private repos + higher rate limits)
titus github --org kubernetes --token $GITHUB_TOKEN

# Scan all repos for a GitHub user
titus github --user octocat

# Scan all projects in a GitLab group
titus gitlab scan --group mygroup --token $GITLAB_TOKEN

# Scan a single repo with git history (finds deleted secrets)
titus github scan owner/repo --git

الرموز المميزة (Tokens) اختيارية للمستودعات العامة. قم بتعيين GITHUB_TOKEN أو GITLAB_TOKEN (أو استخدم --token) للوصول إلى المستودعات الخاصة وحدود معدل API الأعلى.

فحص صور Docker / OCI

افحص صور الحاويات مباشرة — بدون docker daemon، وبدون الحاجة إلى ملف docker التنفيذي. يقوم Titus بسحب الصور مباشرة من أي سجل OCI عبر HTTPS (باستخدام بيانات الاعتماد من ~/.docker/config.json)، أو يقرأ الصور من أرشيف docker save المحلي أو من دليل تخطيط صور OCI. ثم يقوم بفحص بيانات تعريف بيان/تكوين الصورة وكل ملف عادي في كل طبقة، بما في ذلك الملفات الموجودة في الطبقات السفلية التي حذفتها الطبقات اللاحقة (نظرًا لأن الأسرار يمكن أن تظل قابلة للاسترداد من سجل الصورة).

# Pull from a registry and scan
titus scan --docker alpine:latest
titus scan docker://ghcr.io/owner/repo:tag

# Scan an image saved to a tarball:
#   docker save my-app:latest -o my-app.tar
#   podman save my-app:latest -o my-app.tar
titus scan --docker ./my-app.tar

# Scan an OCI image layout directory:
#   docker buildx build --output type=oci,dest=./img/ .
#   skopeo copy docker://my-app:latest oci:./img:latest
titus scan --docker ./img/

المصادقة تستخدم إعدادات Docker / Podman الموجودة لديك (~/.docker/config.json، ${XDG_RUNTIME_DIR}/containers/auth.json). السجلات الخاصة التي تحتاج إلى تسجيل دخول جديد يجب أولاً المصادقة عليها باستخدام docker login (أو podman login، أو crane auth login) — لا يطلب titus بيانات الاعتماد.

عرض نتائج الفحص

استخدم report لإعادة قراءة النتائج من فحص سابق:

# Human-readable summary of detected secrets
titus report

# JSON output for programmatic processing
titus report --format json

# SARIF output for CI/CD integration with GitHub Advanced Security
titus report --format sarif

# Report from a specific datastore
titus report --datastore path/to/titus.ds