फ़ाइलों को स्कैन करके high-entropy लाइनों को खोजने वाला CLI टूल Entropy

Entropy

Entropy एक CLI टूल है जो कोडबेस में high-entropy लाइनों को स्कैन करके secret जानकारी ढूंढने में मदद करता है।

इंस्टॉल करने का तरीका

Go का उपयोग करके source से इंस्टॉल (सुझावित)

• go install github.com/EwenQuim/entropy@latest
• entropy कमांड इस्तेमाल की जा सकती है
• अतिरिक्त विकल्प: entropy -h, entropy -top 20 -ext go,py,js, entropy -top 5 -ignore-ext min.js,pdf,png,jpg,jpeg,zip,mp4,gif my-folder my-file1 my-file2
• एक-लाइन इंस्टॉल: go run github.com/EwenQuim/entropy@latest

Brew का उपयोग करके इंस्टॉल

• काम जारी है (WIP)

Docker का उपयोग करके इंस्टॉल

• docker run --rm -v $(pwd):/data ewenquim/entropy /data
• अतिरिक्त विकल्प: docker run --rm -v $(pwd):/data ewenquim/entropy -h, docker run --rm -v $(pwd):/data ewenquim/entropy -top 20 -ext go,py,js /data, docker run --rm -v $(pwd):/data ewenquim/entropy -top 5 /data/my-folder /data/my-file
• Docker Hub से इमेज उपलब्ध है
• -v विकल्प का उपयोग current directory को container में mount करने के लिए किया जाता है
• कमांड के अंत में /data जोड़ना जरूरी है, नहीं तो टूल local file system की जगह container के अंदर खोजेगा

अन्य प्रोजेक्ट

• Fuego: कोडबेस से OpenAPI डॉक्युमेंट बनाने वाला Go framework
• Renpy-Graphviz: Ren'Py game engine की screens और labels को graph के रूप में बनाने वाला टूल

GN⁺ की राय

• सुरक्षा मज़बूती: कोडबेस में secret जानकारी को अपने-आप खोजकर सुरक्षा मजबूत करने में मदद मिल सकती है.
• उपयोग में आसानी: कई इंस्टॉलेशन तरीके देकर उपयोगकर्ता इस टूल को आसानी से इंस्टॉल और इस्तेमाल कर सकते हैं.
• मिलते-जुलते टूल: समान काम करने वाले टूल में git-secrets, truffleHog आदि शामिल हैं.
• अपनाने से पहले विचार: टूल का उपयोग करते समय कोडबेस के आकार और जटिलता को ध्यान में रखना चाहिए, और high-entropy लाइनें हमेशा secret जानकारी का मतलब नहीं होतीं.
• तकनीकी चयन के फायदे और नुकसान: Entropy अपनाने से security incidents रोके जा सकते हैं, लेकिन false positive नतीजे आ सकते हैं इसलिए अतिरिक्त समीक्षा की जरूरत है.

[GN⁺]

Hacker News टिप्पणियाँ

• Perl स्क्रिप्ट का उपयोग: टेक्स्ट की entropy मापने के लिए Perl स्क्रिप्ट इस्तेमाल करने का तरीका सुझाया गया है। छोटी लाइनों में compression ठीक से नहीं होने की समस्या है।
• डेटाबेस पासवर्ड: सभी database password को 'abcd' पर सेट करके समस्या हल कर ली गई।
• entropy के उपयोग को लेकर जिज्ञासा: टेक्स्ट विश्लेषण में entropy का उपयोग कैसे किया जाए, इस पर कोई अच्छा लेख ढूंढा जा रहा है। entropy की परिभाषा और उसके प्रभाव को लेकर जिज्ञासा है।
• entropy की परिभाषा की समस्या: टेक्स्ट की entropy को परिभाषित करना अस्पष्ट है। natural language और random string की entropy की तुलना करने के लिए बेहतर तरीका चाहिए।
• संबंधित प्रोजेक्ट्स: TruffleHog, detect-secrets, Semgrep Secrets जैसे संबंधित प्रोजेक्ट्स का परिचय दिया गया है।
• आभार व्यक्त करना: कुछ साल पहले entropy के बारे में सवाल पूछने वाले DrJones को धन्यवाद देते हुए, एक अच्छा संबंधित लेख लिंक किया गया है।
• CLI टूल की प्रशंसा: इसे उपयोगी CLI टूल बताया गया है, और Go code की भी तारीफ़ की गई है।
• 'ent' प्रोग्राम: लंबे समय से इस्तेमाल किए जा रहे 'ent' प्रोग्राम की याद दिलाता है।
• language model का उपयोग: सुझाव दिया गया है कि Llama 3 जैसे language model token-by-token surprise को model करके high-entropy क्षेत्रों का पता लगा सकते हैं।
• CLI टूल सुधार सुझाव: .gitignore फ़ाइल को अपने-आप पढ़कर उसकी सामग्री को exclude करने वाला flag और अलग-अलग secret detection strategies जोड़ने का सुझाव दिया गया है।
• compression तुलना विधि: फ़ाइल को compress करके compressed size और original size की तुलना करने का तरीका सुझाया गया है। encrypted फ़ाइलें code की तुलना में कम compress होती हैं।