TruffleHog

Encontre credenciais vazadas.

---

---

🔎 Escaneando agora

🌐 TruffleHog Enterprise

Você tem interesse em monitorar continuamente Git, Jira, Slack, Confluence, Microsoft Teams, Sharepoint (e mais) em busca de credenciais? Temos um produto enterprise que pode ajudar! Saiba mais em https://trufflesecurity.com/trufflehog-enterprise.

Usamos a receita do produto enterprise para financiar mais projetos open source incríveis dos quais toda a comunidade pode se beneficiar.

O que é o TruffleHog 🐽

O TruffleHog é a ferramenta mais poderosa de Descoberta, Classificação, Validação e Análise de segredos. Neste contexto, segredo refere-se a uma credencial que uma máquina usa para se autenticar em outra máquina. Isso inclui chaves de API, senhas de banco de dados, chaves de criptografia privadas e muito mais.

Descoberta 🔍

O TruffleHog pode procurar segredos em muitos lugares, incluindo Git, chats, wikis, logs, plataformas de teste de API, object stores, sistemas de arquivos e mais.

Classificação 📁

O TruffleHog classifica mais de 800 tipos de segredos, mapeando-os de volta à identidade específica à qual pertencem. É um segredo da AWS? Segredo do Stripe? Segredo do Cloudflare? Senha do Postgres? Chave privada SSL? Às vezes é difícil dizer apenas olhando, então o TruffleHog classifica tudo o que encontra.

Validação ✅

Para cada segredo que o TruffleHog consegue classificar, ele também consegue fazer login para confirmar se esse segredo está ativo ou não. Esta etapa é crítica para saber se há um perigo ativo presente ou não.

Análise 🔬

Para cerca de 20 dos tipos de credenciais mais comumente vazadas, em vez de enviar uma única requisição para verificar se o segredo consegue fazer login, o TruffleHog pode enviar muitas requisições para descobrir tudo o que há para saber sobre o segredo. Quem o criou? A quais recursos ele pode acessar? Quais permissões ele tem nesses recursos?

📢 Junte-se à nossa comunidade

Tem dúvidas? Feedback? Entre no Slack ou Discord e fique à vontade com a gente.

Junte-se à nossa Comunidade no Slack

Junte-se ao Secret Scanning Discord

📺 Demonstração

docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --org=trufflesecurity

💾 Instalação

Várias opções estão disponíveis para você:

Usuários de MacOS

brew install trufflehog

Docker:

_{Certifique-se de que o Docker engine esteja em execução antes de executar os seguintes comandos:}

    Unix

docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys

    Prompt de Comando do Windows

docker run --rm -it -v "%cd:/=\%:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys

    Windows PowerShell

docker run --rm -it -v "${PWD}:/pwd" trufflesecurity/trufflehog github --repo https://github.com/trufflesecurity/test_keys

    Mac M1 e M2

docker run --platform linux/arm64 --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keys

Versões binárias

Download and unpack from https://github.com/trufflesecurity/trufflehog/releases

Compilar a partir do código-fonte

git clone https://github.com/trufflesecurity/trufflehog.git
cd trufflehog; go install

Usando o script de instalação

curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -b /usr/local/bin

Usando o script de instalação, verifique a assinatura do checksum (requer que o cosign esteja instalado)

curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -v -b /usr/local/bin

Usando o script de instalação para instalar uma versão específica

curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh -s -- -b /usr/local/bin <ReleaseTag like v3.56.0>

🔐 Verificando os artefatos

Checksums são aplicados a todos os artefatos, e o arquivo de checksum resultante é assinado usando cosign.

Você precisa da seguinte ferramenta para verificar a assinatura:

• Cosign

As etapas de verificação são as seguintes:

1. Baixe os arquivos de artefato que você deseja, e os seguintes arquivos da página de releases.

   • trufflehog_{version}_checksums.txt
   • trufflehog_{version}_checksums.txt.pem
   • trufflehog_{version}_checksums.txt.sig

2. Verifique a assinatura:

   cosign verify-blob <path to trufflehog_{version}_checksums.txt> \
   --certificate <path to trufflehog_{version}_checksums.txt.pem> \
   --signature <path to trufflehog_{version}_checksums.txt.sig> \
   --certificate-identity-regexp 'https://github\.com/trufflesecurity/trufflehog/\.github/workflows/.+' \
   --certificate-oidc-issuer "https://token.actions.githubusercontent.com"
   

3. Depois que a assinatura for confirmada como válida, você pode prosseguir para validar se as somas SHA256 correspondem ao artefato baixado:

   sha256sum --ignore-missing -c trufflehog_{version}_checksums.txt
   

Substitua {version} pela versão dos arquivos baixados

Alternativamente, se estiver a utilizar o script de instalação, passe a opção -v para realizar a verificação de assinatura. Isto requer que o binário Cosign esteja instalado antes de executar o script de instalação.

🚀 Início Rápido

1: Analisar um repositório apenas para segredos verificados

Comando:

trufflehog git https://github.com/trufflesecurity/test_keys --results=verified

Expected output:

🐷🔑🐷  TruffleHog. Unearth your secrets. 🐷🔑🐷

Found verified result 🐷🔑
Detector Type: AWS
Decoder Type: PLAIN
Raw result: AKIAYVP4CIPPERUVIFXG
Line: 4
Commit: fbc14303ffbf8fb1c2c1914e8dda7d0121633aca
File: keys
Email: counter <[email protected]>
Repository: https://github.com/trufflesecurity/test_keys
Timestamp: 2022-06-16 10:17:40 -0700 PDT
...

2: Escanear uma Organização do GitHub apenas para segredos verificados

trufflehog github --org=trufflesecurity --results=verified

3: Escanear uma Org do GitHub excluindo repositórios arquivados