TruffleHog

Encuentra credenciales filtradas.

---

---

🔎 Ahora escaneando

🌐 TruffleHog Enterprise

¿Está interesado en monitorear continuamente Git, Jira, Slack, Confluence, Microsoft Teams, Sharepoint (y más) en busca de credenciales? ¡Tenemos un producto empresarial que puede ayudarle! Obtenga más información en https://trufflesecurity.com/trufflehog-enterprise.

Destinamos los ingresos del producto empresarial a financiar más proyectos de código abierto increíbles de los que toda la comunidad pueda beneficiarse.

Qué es TruffleHog 🐽

TruffleHog es la herramienta más potente de Descubrimiento, Clasificación, Validación y Análisis de secretos. En este contexto, un secreto se refiere a una credencial que una máquina utiliza para autenticarse ante otra máquina. Esto incluye claves de API, contraseñas de bases de datos, claves de cifrado privadas y más.

Descubrimiento 🔍

TruffleHog puede buscar secretos en muchos lugares, incluidos Git, chats, wikis, registros, plataformas de pruebas de API, almacenes de objetos, sistemas de archivos y más.

Clasificación 📁

TruffleHog clasifica más de 800 tipos de secretos, asignándolos a la identidad específica a la que pertenecen. ¿Es un secreto de AWS? ¿Un secreto de Stripe? ¿Un secreto de Cloudflare? ¿Una contraseña de Postgres? ¿Una clave privada SSL? A veces es difícil saberlo con solo mirarlo, por lo que TruffleHog clasifica todo lo que encuentra.

Validación ✅

Para cada secreto que TruffleHog puede clasificar, también puede iniciar sesión para confirmar si ese secreto está activo o no. Este paso es fundamental para saber si existe un peligro activo presente o no.

Análisis 🔬

Para los 20 tipos de credenciales más comúnmente filtradas, en lugar de enviar una sola solicitud para comprobar si el secreto puede iniciar sesión, TruffleHog puede enviar muchas solicitudes para conocer todo lo que hay que saber sobre el secreto. ¿Quién lo creó? ¿A qué recursos puede acceder? ¿Qué permisos tiene sobre esos recursos?

📢 Únase a nuestra comunidad

¿Tiene preguntas? ¿Comentarios? Únase a Slack o Discord y pase el rato con nosotros.

Únase a nuestra Comunidad de Slack

Únase al Discord de Secret Scanning

📺 Demostración

docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --org=trufflesecurity

💾 Instalación

Hay varias opciones disponibles para ti:

Usuarios de MacOS

brew install trufflehog

Docker:

_{Asegúrate de que el motor de Docker esté en ejecución antes de ejecutar los siguientes comandos:}

    Unix

docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys

    Símbolo del sistema de Windows

docker run --rm -it -v "%cd:/=\%:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys

    Windows PowerShell

docker run --rm -it -v "${PWD}:/pwd" trufflesecurity/trufflehog github --repo https://github.com/trufflesecurity/test_keys

    Mac M1 y M2

docker run --platform linux/arm64 --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys

Versiones binarias

Download and unpack from https://github.com/trufflesecurity/trufflehog/releases

Compilar desde el código fuente

git clone https://github.com/trufflesecurity/trufflehog.git
cd trufflehog; go install

Uso del script de instalación

curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -b /usr/local/bin

Uso del script de instalación, verificación de la firma del checksum (requiere que cosign esté instalado)

curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -v -b /usr/local/bin

Uso del script de instalación para instalar una versión específica

curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -b /usr/local/bin <ReleaseTag like v3.56.0>

🔐 Verificación de los artefactos

Se aplican sumas de verificación a todos los artefactos, y el archivo de sumas de verificación resultante se firma con cosign.

Necesitas la siguiente herramienta para verificar la firma:

• Cosign

Los pasos de verificación son los siguientes:

1. Descarga los archivos de artefactos que desees y los siguientes archivos de la página de releases.

   • trufflehog_{version}_checksums.txt
   • trufflehog_{version}_checksums.txt.pem
   • trufflehog_{version}_checksums.txt.sig

2. Verifica la firma:

   cosign verify-blob <path to trufflehog_{version}_checksums.txt> \
   --certificate <path to trufflehog_{version}_checksums.txt.pem> \
   --signature <path to trufflehog_{version}_checksums.txt.sig> \
   --certificate-identity-regexp 'https://github\.com/trufflesecurity/trufflehog/\.github/workflows/.+' \
   --certificate-oidc-issuer "https://token.actions.githubusercontent.com"
   

3. Una vez confirmado que la firma es válida, puede proceder a validar que las sumas SHA256 coincidan con el artefacto descargado:

   sha256sum --ignore-missing -c trufflehog_{version}_checksums.txt
   

Reemplace {version} con la versión de los archivos descargados

Alternativamente, si está utilizando el script de instalación, pase la opción -v para realizar la verificación de firma. Esto requiere que el binario de Cosign esté instalado antes de ejecutar el script de instalación.

🚀 Inicio rápido

1: Escanear un repositorio solo en busca de secretos verificados

Comando:

trufflehog git https://github.com/trufflesecurity/test_keys --results=verified

Expected output:

🐷🔑🐷  TruffleHog. Unearth your secrets. 🐷🔑🐷

Found verified result 🐷🔑
Detector Type: AWS
Decoder Type: PLAIN
Raw result: AKIAYVP4CIPPERUVIFXG
Line: 4
Commit: fbc14303ffbf8fb1c2c1914e8dda7d0121633aca
File: keys
Email: counter <[email protected]>
Repository: https://github.com/trufflesecurity/test_keys
Timestamp: 2022-06-16 10:17:40 -0700 PDT
...

2: Escanear una organización de GitHub solo en busca de secretos verificados