Rust 기반 오픈소스 시크릿 스캐너
웹사이트 · 문서 · 아키텍처 · Vyre GPU 엔진
KeyHog은 Rust로 작성된 오픈소스 비밀 스캐너로, 소스 코드, Git 히스토리, 컨테이너, 클라우드 스토리지, 브라우저 자산, 협업 콘텐츠, 실행 중인 시스템 전반에서 유출된 API 키, 토큰, 비밀번호, 자격 증명을 탐지하고 검증합니다.
대부분의 비밀 스캐너는 저장소 체크아웃에서 CPU 정규식 매칭에 그칩니다. KeyHog은 934개의 서비스별 탐지기, 은닉 자격 증명을 위한 디코드 통과, 컨텍스트 인지 증거 및 억제, 실시간 공급자 검증, 그리고 Vyre를 통한 일급 CUDA, Metal, WGPU 실행을 결합합니다. 캘리브레이션은 적격한 모든 순수 Rust CPU, Hyperscan/SIMD, GPU 백엔드를 측정합니다. 이후 자동 라우팅은 정확한 호스트와 워크로드 클래스에 대해 가장 빠른 패리티 검증 경로를 사용합니다.
| GPU는 실제 백엔드입니다 | 실제 공격 표면을 스캔합니다 | 신호와 노이즈를 분리합니다 | 결과에 따라 조치합니다 |
|---|---|---|---|
| CUDA, 네이티브 Metal, WGPU는 조용한 폴백 체인이 아닌 측정된 동급 백엔드입니다. | Git 히스토리, Docker 레이어, 아카이브, 클라우드 버킷, 소스 맵, WASM, HAR 캡처, 호스팅 Git 컬렉션, 전체 시스템을 스캔합니다. | 증거, 예제 억제, 기준선을 적용하기 전에 base64, hex, URL, protobuf, 멀티라인, 구조화된 구성을 디코드합니다. | 적격 자격 증명을 공급자 API로 검증하고, SARIF 또는 구조화된 봉투를 내보내며, 정확한 커버리지와 종료 의미를 보존합니다. |
| cargo install --locked keyhog | |||
| keyhog scan . |
<p align="center">
<img src="https://assets.kitploit.com/production/public/readmes/7654/dfb768a9b8e8fa64082992f11d0b284d5ec6a199fc1eac85e0352fb20452186f.gif" alt="KeyHog 스캔이 심각도, 증거, 파일 및 줄, 수정 방법, 결과, 적용 범위 상태를 보여줍니다" width="900" />
</p>
## GPU를 중심으로 구축된 시크릿 스캐너
KeyHog는 일반적인 컴퓨트 셰이더에 정규 표현식 몇 개를 넘겨주지 않습니다.
GPU 경로는 KeyHog와 함께 개발된 Rust GPU 컴퓨트 기반인
[Vyre](https://github.com/santhreal/vyre) 위에 구축되어 있습니다.
디텍터 트리거는 변경 불가능한 GPU 상주 테이블로 컴파일됩니다.
제한된 소스 배치는 CPU 및 Hyperscan 경로에서 사용되는 것과 동일한
확인, 억제, 증거, 보고 파이프라인에 대한 완전한 매치 위치를 생성합니다.
- **세 가지 물리적 GPU 피어.** CUDA, 네이티브 Metal, 휴대용 WGPU가
각각 독립적으로 획득, 측정, 보고됩니다.
- **정확한 결과 일치.** 보정(Calibration)은 참조 경로와 발견 항목
식별자가 다른 후보를 거부합니다. 더 빠른 잘못된 답변은 라우팅 테이블에
절대 들어가지 않습니다.
- **영구 경로 증거.** KeyHog는 바이너리, 디텍터 코퍼스, 구성, 워크로드
클래스, 호스트, 가속기, 드라이버, 측정된 타이밍 증거를 기록합니다.
일반 스캔은 핫 경로에서 벤치마킹하지 않습니다.
- **상주 실행.** 데몬 워커는 컴파일된 디텍터와 가속기 상태를 따뜻하게
유지하여 반복적인 파일, 아카이브, 히스토리, 원격, 클라우드 배치를 처리합니다.
- **숨겨진 CPU 탈출구 없음.** 명시적으로 선택된 가속기가 초기화되거나
디스패치할 수 없으면 GPU 라벨 아래에서 CPU 결과를 반환하는 대신
명시적으로 실패합니다.
기본 crates.io 설치에서는 휴대용 순수 Rust CPU 경로를 사용하므로
깨끗한 Rust 호스트에서 작동합니다. Hyperscan을 획득하지 않고도
세 가지 GPU 피어를 활성화할 수 있습니다:```sh
cargo install --locked keyhog --no-default-features --features portable,gpu
Hyperscan 또는 Vectorscan SIMD 정규식 피어를 활성화합니다:```sh cargo install --locked keyhog --no-default-features --features portable,simd
생산 백엔드 진단을 실행한 다음, 측정된 라우트를 검사합니다:```sh
keyhog backend --self-test
keyhog calibrate-autoroute --policy all
keyhog backend --autoroute --json
백엔드 가이드는 상주 테이블, 제한된 디스패치 모델, 패리티 계약, 그리고 재현 가능한 교차 검증 증거를 문서화합니다.
위의 두 명령은 최신 crates.io 릴리스를 설치하고 휴대용 순수 Rust 경로로 현재 트리를 스캔합니다.
CI 환경을 정확히 하나의 릴리스로 고정하려면
cargo install --locked --version '=0.5.86' keyhog을 사용하세요. KeyHog는 Rust 1.89
이상이 필요합니다. GPU, Hyperscan, CI, 휴대용, 소스 빌드 프로필에 대한 자세한 내용은
설치 가이드를 참조하세요.
KeyHog는 발견 항목이 활성 증거 정책을 차단하면 1로 종료됩니다. 기본
정책은 likely 및 confirmed 발견 항목을 차단하고 review 발견 항목은
종료 코드 0으로 표시된 상태로 유지합니다. --evidence-policy paranoid는 모든 등급을 차단합니다.
각 발견 항목의 정확한 증거 등급, 이유 코드, 파일, 줄, 탐지기, 그리고
수정 방법을 검토하세요. 다른 0이 아닌 코드는 입력, 시스템, 검증, 또는
커버리지 실패를 설명합니다. 자세한 내용은
종료 코드 참조를 참조하세요.
전체 프로세스 계약은 다음과 같습니다:
| 종료 코드 | 의미 |
|---|---|
0 성공 | 활성 증거 정책을 차단하는 발견 항목이 없고 커버리지 실패도 발생하지 않았습니다. 기본 정책에서는 검토 등급 발견 항목이 표시된 상태로 유지될 수 있습니다. |
1 차단 발견 항목 | 활성 증거 정책을 차단하는 발견 항목이 하나 이상 있지만, 라이브로 확인된 항목은 없습니다. |
2 운영자 오류 | 인수, 구성, 탐지기 코퍼스, 또는 운영자가 수정할 수 있는 입력을 수정하세요. |
3 시스템 오류 | 실행기를 복구하거나 재시도하세요. 여기에는 저수준 I/O, 치명적 데몬 서비스, 증분 캐시, 명시적으로 선택된 SIMD 실패가 포함됩니다. |
4 상태/자가 테스트 실패 | doctor 또는 backend --self-test 상태 검사가 비정상이었습니다. |
10 라이브 자격 증명 | 하나 이상의 자격 증명이 라이브로 확인되었습니다. |
11 스캐너 패닉 | 스캐너 상태를 신뢰할 수 없으므로 스캔 결과를 폐기하세요. |
12 필수 GPU 실패 | 명시적으로 선택되거나 필수인 GPU 경로를 실행할 수 없습니다. |
13 불완전한 커버리지 | 요청된 소스가 실패했거나 입력 커버리지가 불완전했으며, 어떤 발견 항목 결과도 우선하지 않았습니다. |
130 중단됨 | SIGINT 또는 Ctrl-C로 프로세스가 중단되었습니다. |
필터, 형식, 게이트:
필터로 사용하기 전에 기준선을 생성하세요:```sh keyhog scan . --create-baseline .keyhog-baseline.json keyhog scan . --baseline .keyhog-baseline.json --format json-envelope --output keyhog.json
첫 번째 명령은 검토된 발견 사항을 스냅샷으로 저장하고 `0`으로 종료되며 이를 출력하지
않습니다. 해당 파일을 커밋한 다음, 두 번째 명령을 사용하여 새 발견 항목 식별자만 보고하세요.
기준 항목은 탐지기와 자격 증명 값에서 일치하며 파일 경로에서는 절대 일치하지 않으므로,
기록된 비밀을 이동해도 게이트가 실패하지 않지만 회전시키면 실패합니다. 변경된 자격 증명과
불완전한 적용 범위는 계속 표시됩니다. 모노레포 파티션을 포함한 전체 경로는 [새 비밀에 대해서만
실패](https://santhreal.github.io/keyhog/workflows/ci.html#fail-only-on-new-secrets)에 있습니다.
다음 스캔을 위해 [레시피
쿡북](https://santhreal.github.io/keyhog/recipes.html) 또는 [올바른 워크플로 선택](#choose-the-right-workflow)의
복사 가능한 명령을 사용하세요. 도구를 변경하지 않고도 Git 기록, 컨테이너 이미지, 클라우드 버킷,
저장소 컬렉션, URL 및 전체 머신을 스캔할 수 있습니다.
### 빠른 사전 커밋 스캔을 위한 저장소 보호
상주 KeyHog 데몬에 저장소를 등록하여 빠른 사전 커밋 비밀 탐지를 수행하세요
(Unix 필요, Windows에서는 프로세스 내 `keyhog scan` 사용):```sh
# 1. Start the daemon (accelerated by CUDA, Metal, WGPU, or SIMD)
keyhog guard up
# 2. Guard your repository (indexes baseline and installs pre-commit hook in one step)
keyhog guard add /path/to/repo
# 3. Every staged commit checks only changed blobs against in-memory attestations
keyhog scan --git-staged
# 4. View all active guarded repositories and their states
keyhog guard list
# 5. Turn the daemon on and off cleanly without losing registrations or durable index
keyhog guard down
perpetual guard 가이드와 pre-commit 워크플로우를 참조하여 전체 구성, 상태 머신 수명 주기, 후크 자동화에 대해 알아보세요.
.github/workflows/keyhog.yml 파일을 생성하세요:```yaml
name: keyhog
on:
push:
branches: [main]
pull_request:
permissions:
contents: read
security-events: write
jobs:
scan:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
- uses: santhreal/keyhog@v0
with:
path: .
severity: high
The Action scans the checked-out tree, fails on findings at `high` or
`critical`, uploads SARIF to Code Scanning, and retains the report as a workflow
artifact. Installation, coverage, backend, and report-publication failures also
fail the job.