Live Secret Detection

Live Secret Detection 機能は、露出したシークレットが現在も有効かどうかを確認し、その潜在的なリスクを評価します。結果に応じて、issueの深刻度が引き上げられたり引き下げられたりします。

ユースケース

特定と検証

Aikido は露出したシークレットを安全なエンドポイントに送信し、それが現在も有効かどうかを確認します。その結果、ログにAikidoからのIPアドレスが記録されることがあります。以下にAikidoのIPアドレスの一覧を示します。

権限の評価

Aikido はさらに一歩進んで、有効なシークレットの権限を確認します。これに基づいて、深刻度の引き上げにさらに細かな区別を設けています。以下を確認します。

プロバイダーごとに異なるチェックを行っています（例: GitHub Access Tokens、Sendgrid tokensなど）。確認してほしいシークレットがあればお問い合わせください。

テストファイル、モックデータ、設定例をフィルタリングして誤検知を最小限に抑えるよう努めていますが、一見本物に見えるシークレットが誤ってフラグ付けされることがあります。これは、特定のパターンがプログラム的には判別不可能であるために発生します。

ドキュメントやコメント内のシークレット例 開発者がコードコメントやドキュメントに、実際のシークレットと全く同じパターンに一致するAPIキーの例を含めることがあります。

どちらも同じフォーマットに従っているため、パターン認識だけでは検証なしにどちらが本物かを判断できません。

無効化・ローテーション済みのシークレット Live Secret Detection は、シークレットが現在も有効かどうかを確認することでこれらを減らす助けになりますが、検証が不可能なエッジケースも存在します。

テスト環境のシークレット テスト環境でのみ使用され、本番環境のパターンに一致するものの、実際のセキュリティリスクは無いシークレットです。

誤検知に遭遇した場合は次のようにしてください。