TruffleHog

Finde geleakte Zugangsdaten.

---

---

🔎 Jetzt wird gescannt

🌐 TruffleHog Enterprise

Möchtest du Git, Jira, Slack, Confluence, Microsoft Teams, Sharepoint (und mehr) kontinuierlich auf Zugangsdaten überwachen? Wir haben ein Enterprise-Produkt, das dir dabei helfen kann! Erfahre mehr unter https://trufflesecurity.com/trufflehog-enterprise.

Wir verwenden die Einnahmen aus dem Enterprise-Produkt, um weitere großartige Open-Source-Projekte zu finanzieren, von denen die gesamte Community profitiert.

Was ist TruffleHog 🐽

TruffleHog ist das leistungsstärkste Tool für Discovery, Classification, Validation und Analysis von Secrets. In diesem Kontext bezeichnet ein Secret eine Zugangsdatenkombination, mit der sich eine Maschine gegenüber einer anderen Maschine authentifiziert. Dazu gehören API-Schlüssel, Datenbankpasswörter, private Verschlüsselungsschlüssel und mehr.

Discovery 🔍

TruffleHog kann an vielen Orten nach Secrets suchen, darunter Git, Chats, Wikis, Logs, API-Testplattformen, Objektspeicher, Dateisysteme und mehr.

Classification 📁

TruffleHog klassifiziert über 800 Secret-Typen und ordnet sie der jeweiligen spezifischen Identität zu, zu der sie gehören. Handelt es sich um ein AWS-Secret? Ein Stripe-Secret? Ein Cloudflare-Secret? Ein Postgres-Passwort? Einen privaten SSL-Schlüssel? Manchmal ist das auf den ersten Blick schwer zu erkennen, deshalb klassifiziert TruffleHog alles, was es findet.

Validation ✅

Für jedes Secret, das TruffleHog klassifizieren kann, kann es sich auch anmelden, um zu bestätigen, ob dieses Secret noch aktiv ist oder nicht. Dieser Schritt ist entscheidend, um zu wissen, ob eine aktive gegenwärtige Gefahr besteht oder nicht.

Analysis 🔬

Für die rund 20 am häufigsten geleakten Zugangsdatentypen sendet TruffleHog nicht nur eine Anfrage, um zu prüfen, ob sich das Secret anmelden kann, sondern viele Anfragen, um alles über das Secret zu erfahren. Wer hat es erstellt? Auf welche Ressourcen kann es zugreifen? Welche Berechtigungen hat es auf diesen Ressourcen?

📢 Tritt unserer Community bei

Fragen? Feedback? Komm in Slack oder Discord und verbringe Zeit mit uns.

Tritt unserer Slack-Community bei

Tritt dem Secret Scanning Discord bei

📺 Demo

docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --org=trufflesecurity

💾 Installation

Es stehen mehrere Optionen zur Verfügung:

MacOS-Benutzer

brew install trufflehog

Docker:

_{Stellen Sie sicher, dass die Docker-Engine läuft, bevor Sie die folgenden Befehle ausführen:}

    Unix

docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys

    Windows-Eingabeaufforderung

docker run --rm -it -v "%cd:/=\%:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys

    Windows PowerShell

docker run --rm -it -v "${PWD}:/pwd" trufflesecurity/trufflehog github --repo https://github.com/trufflesecurity/test_keys

    M1- und M2-Mac

docker run --platform linux/arm64 --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys

Binäre Releases

Download and unpack from https://github.com/trufflesecurity/trufflehog/releases

Aus dem Quellcode kompilieren

git clone https://github.com/trufflesecurity/trufflehog.git
cd trufflehog; go install

Installationsskript verwenden

curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -b /usr/local/bin

Installationsskript verwenden, Checksummen-Signatur verifizieren (erfordert installiertes cosign)

curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -v -b /usr/local/bin

Installationsskript zum Installieren einer bestimmten Version verwenden

curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -b /usr/local/bin <ReleaseTag like v3.56.0>

🔐 Überprüfung der Artefakte

Auf alle Artefakte werden Prüfsummen angewendet, und die resultierende Prüfsummendatei wird mit cosign signiert.

Sie benötigen das folgende Tool zur Überprüfung der Signatur:

• Cosign

Die Überprüfungsschritte sind wie folgt:

1. Laden Sie die gewünschten Artefaktdateien sowie die folgenden Dateien von der releases-Seite herunter.

   • trufflehog_{version}_checksums.txt
   • trufflehog_{version}_checksums.txt.pem
   • trufflehog_{version}_checksums.txt.sig

2. Überprüfen Sie die Signatur:

   cosign verify-blob <path to trufflehog_{version}_checksums.txt> \
   --certificate <path to trufflehog_{version}_checksums.txt.pem> \
   --signature <path to trufflehog_{version}_checksums.txt.sig> \
   --certificate-identity-regexp 'https://github\.com/trufflesecurity/trufflehog/\.github/workflows/.+' \
   --certificate-oidc-issuer "https://token.actions.githubusercontent.com"
   

3. Sobald die Signatur als gültig bestätigt wurde, können Sie fortfahren und überprüfen, ob die SHA256-Summen mit dem heruntergeladenen Artefakt übereinstimmen:

   sha256sum --ignore-missing -c trufflehog_{version}_checksums.txt
   

Ersetze {version} durch die Version der heruntergeladenen Dateien

Alternativ kannst du, wenn du das Installationsskript verwendest, die Option -v übergeben, um die Signaturprüfung durchzuführen. Dies erfordert, dass die Cosign-Binärdatei vor der Ausführung des Installationsskripts installiert wurde.

🚀 Schnellstart

1: Ein Repo nur nach verifizierten Secrets scannen

Befehl:

trufflehog git https://github.com/trufflesecurity/test_keys --results=verified

Expected output:

🐷🔑🐷  TruffleHog. Unearth your secrets. 🐷🔑🐷

Found verified result 🐷🔑
Detector Type: AWS
Decoder Type: PLAIN
Raw result: AKIAYVP4CIPPERUVIFXG
Line: 4
Commit: fbc14303ffbf8fb1c2c1914e8dda7d0121633aca
File: keys
Email: counter <[email protected]>
Repository: https://github.com/trufflesecurity/test_keys
Timestamp: 2022-06-16 10:17:40 -0700 PDT
...

2: Eine GitHub-Organisation nur nach verifizierten Secrets scannen