owasp/secretsifter
OWASP Incubatorプロジェクト：ブラウザに配信されるコンテンツ（JavaScript、設定レスポンス、ライブトラフィック）に露出した認証情報を検出します。
SecretSifterは、Webアプリケーションが実際にブラウザへ配信する内容——JavaScriptバンドル、設定レスポンス、その他のライブコンテンツ——に露出した認証情報を検出するOWASP Incubatorプロジェクトです。
デプロイ前のシークレットスキャンはソースコードを対象とします。一部の認証情報はビルド時や実行時に初めて導入されるため、スキャン対象のリポジトリには決して現れません。SecretSifterはブラウザに到達するトラフィックを検査し、各検出結果をその位置と証拠とともに報告し、テスターが評価できるようにします。
| エディション | 入手方法 | ソース |
|---|---|---|
| Burp Suite拡張 | ソースからビルド | burp-extension/ (MIT) |
| AIトリアージとMCPを備えたBurp Suite拡張 | ソースからビルド | burp-mcp/ (MIT) |
| Chrome拡張 | Chrome Web Store | 近日公開 (MIT、ロードマップ上) |
| Firefox拡張 | Firefox Add-ons | 近日公開 (MIT、ロードマップ上) |
| デスクトップアプリ (macOS、Windows) | Releases | 近日公開 (MIT、ロードマップ上) |
| InsecureShield練習用ターゲット (合成認証情報のみ) | secretsifter/insecureshield-demo | MIT |
両方のBurpエディションは./gradlew shadowJar (Java 17+)でビルドします。各フォルダにはビルドとインストール手順を記載した独自のREADMEがあります。
所有している、またはテストを許可されているアプリケーションのみをスキャンしてください。有効な認証情報を発見した場合は、ローテーションできるよう報告し、その値を決して公開しないでください。
Issueとプルリクエストを歓迎します。特に、真陽性と偽陽性の両方のテストケースを伴う新しい検出ルールを歓迎します。
コントリビューションはDeveloper Certificate of Originの下で受け入れられます。各コミットにgit commit -sで署名してください。
プロジェクトページ: owasp.org/projects/secretsifter
ソースコードはMITの下でライセンスされています (LICENSEを参照)。ドキュメントはCC BY-SA 4.0の下でライセンスされています。
