GitHub与微信开启“秘密扫描”计划,来确保数据安全

本文涉及的产品
日志服务 SLS,月写入数据量 50GB 1个月
数据安全中心,免费版
简介: GitHub与微信开启“秘密扫描”计划,来确保数据安全

近日GitHub 官方博客更是宣布:" 腾讯微信现在是 GitHub 秘密扫描合作伙伴。"


“秘密扫描”是Github发起的一个计划,可别被它名字吓到了,它并不是说秘密的扫描用户的隐私数据,而是和微信合作发起,防止微信开发者的秘钥泄露。


该计划的大概功能,就是微信与Github合作秘密扫描,当用户发起请求,Github会对仓库进行秘密扫描,并把开发者的秘钥发送给微信,微信会匹配秘钥并通知受影响的用户,并用邮件通知用户,删除在Github的秘钥,并建议重置秘钥,这样才能最终保证安全。

下图就是Github与微信合作“秘密扫描”的整个流程。


开发者为什么会把秘钥上传至Github


大家明知道不安全,为什么还有那么多开发者会把秘钥上传至Github呢?只有一个原因,那就是追求开发效率。


在我们做项目开发过程中,避免不了要调试代码,特别是与微信这种外部系统联调,很多公司都会直接用真实的密钥进行调试,这样就能保证联调是没问题的。


虽然每一家公司都会强调,秘钥用完后,要记得删除,不可和代码一起提交。但是这个问题还是会大概率出现,因为人不是机器,你一年操作100次就有可能出错一次,你一直都没出错,团队成员终究可能出错一次。


人终究会犯错,所以我们必须寻找解决方案。

解决方案


出现以上问题,就一个原因就是秘钥放在源码里面了,那我们就不要把秘钥放在源码里,就解决问题了,但是这样又产生新的问题,怎么调试的问题?


针对这个问题,要做好以下几点:


开发安全


1、沙箱


成熟的开放平台,大部分都有沙箱环境,这是开放平台的模拟环境,日常开发中可以用好沙箱这个功能,基本可以完成大部分的接口联通工作。


2、Mock


Mock就是自己制造测试环境,模拟开放平台的环境,这个与沙箱类似,但是缺点就是需要额外功能的开发,工作量比较大。


3、申请备用Key


申请备用Key,这也是很多公司的做法,正式的Key涉及真实用户的数据,这些数据安全性、敏感度都比较高,而额外申请一个备用Key,就能在真实的环境里面测试,还没有额外的工作量。


4、单独测试服务器


虽然申请备用Key,可以解决大部分的问题,但是备用Key是没有大量的数据的,在大量数据测试的场景,使用备用Key就无法联调,这时候可以申请一台单独服务器用来测试。


代码安全


以上是针对日常开发要做的,其实在代码内部也有需要做的:


1、密钥加密存储


针对系统任何敏感数据,都是要最高级别对待,必须进行加密存储,避免代码泄露,或者内部人员直接拿去使用。


2、IP绑定


对于敏感数据的接口,都需要绑定IP白名单,避免密钥泄露,系统接口被调用。


3、接口调用日志保存、跟踪


敏感数据的接口,都必须有日志功能,并针对业务场景,进行风控管理,自动发送系统提醒、短信提醒、邮件提醒等方案。


运维安全


服务器方面安全很重要的,运维工作也是项目的一部分,要做好几点:


1、服务器登录日志


服务器远程登录日志,必须记录保存,并进行异常跟踪提醒。避免由于服务器密码泄露,导致产生数据安全问题。


2、服务器操作日志


服务器操作的日志,也是需要记录保存的,特别是一些敏感的操作,比如进入敏感的文件目录、拷贝敏感的数据等。


3、服务器登录,进行短信提醒


针对高级别的数据,需要对服务器登录进行实时提现,比如进行短信提醒。


4、云盾


现在很多云服务器,都有提供云盾的功能,类似于我们登录验证,每一次登录都需要额外输入验证码,才能登录。这样一方面是方便记录登录日志,也是避免系统密码泄露,被直接登录。

安全与效率

系统的安全涉及是方方面面的,要保证系统安全,必然会影响开发进度,所以这也是很多企业,为了生存和发展,忽略了安全的问题。


但是数据安全还是非常重要的,也是根本,所以牺牲一定的工作效率,来保证安全还是很有必要的。


- End -


推荐阅读


盘点6个.NetCore+Vue前后端分离的开源项目


盘点5个C#实用的Word、PPT、Excel、Mail第三方库


一个C#开发的Windows远程桌面工具


盘点10个Web开发人员必备的最佳开发工具推荐


开源免费WMS仓库管理系统【推荐】


相关文章
|
监控 安全 机器人
通过GitHub Actions给微信公众测试号和钉钉群定时推送消息(Python)
通过GitHub Actions给微信公众测试号和钉钉群定时推送消息(Python)
257 0
|
3月前
|
移动开发 前端开发 Android开发
开发指南059-App实现微信扫描登录
App是用uniapp开发的,打包为apk,上传到安卓平板中使用
|
6月前
|
存储 安全 定位技术
云计算中的数据备份与恢复策略:确保数据安全与业务连续性的关键
【7月更文挑战第1天】本文探讨了云计算中数据备份与恢复策略的关键性,强调了它们在保障数据安全和业务连续性中的作用。备份策略的重要性包括防止数据丢失、满足合规要求和提升效率。核心原理涉及冗余存储、数据压缩加密、分片与分散存储及增量备份。实施步骤涵盖制定备份和恢复计划、选择工具、执行操作及测试恢复能力。未来趋势将向智能化、分布式存储、增强安全性及高效恢复发展。构建这样的体系对确保企业业务稳定至关重要。
|
8月前
|
监控 安全 网络安全
云端防御:在云计算时代确保数据安全与网络完整性
【5月更文挑战第18天】 随着企业逐渐将关键业务迁移至云平台,云计算服务的安全性成为不容忽视的核心议题。本文旨在探讨当前云计算环境下的网络安全挑战与信息保护策略。文章分析了云服务中存在的安全漏洞,提出了一系列针对性的安全措施,包括加密技术、访问控制和持续监控等,并讨论了如何通过综合安全框架来强化整体防护机制。此外,文中还强调了教育和员工意识提升在维护网络安全中的重要性。
|
8月前
|
存储 监控 安全
云端防御策略:确保云服务中的数据安全与完整性
【5月更文挑战第18天】 随着企业纷纷迁移至云计算平台,数据的安全性和完整性变得尤为重要。本文深入探讨了在动态且共享的云环境中维护网络安全的挑战,并提出了一系列创新的防御措施。从加密技术到身份验证,再到入侵检测系统,我们分析了多种技术如何共同作用以增强云服务的安全。此外,文中还讨论了合规性、审计及持续监控的重要性,并强调了教育和员工意识在维护信息安全中的作用。通过采用多层次、多角度的安全策略,我们可以为云服务构建一个更为坚固的防御体系。
|
8月前
|
存储 关系型数据库 分布式数据库
【PolarDB 开源】PolarDB 数据备份与恢复策略:确保数据安全的最后一道防线
【5月更文挑战第28天】PolarDB 开源数据安全的关键:备份与恢复策略。定期备份(全量+增量)降低数据丢失风险,制定策略考虑多种因素。确保备份存储安全,测试恢复流程有效性,结合监控系统及时处理问题。保留多版本备份,应对灾难情况有预案。培训人员,提高数据安全意识,打造稳固防线。
274 0
|
8月前
|
监控 安全 网络安全
云端防御策略:在云计算中确保数据安全与隐私
【4月更文挑战第6天】 随着企业和个人日益依赖云服务,数据安全性和隐私保护成为不容忽视的挑战。本文探讨了云计算环境中面临的主要网络安全威胁,并提出了综合性的安全措施来加强防护。我们将从云服务的基础知识出发,分析安全风险,并深入讨论如何通过加密技术、身份验证、访问控制以及持续监控等手段来提高数据的安全性。文章的目标是为读者提供一套实用的策略框架,以便在享受云计算带来的便利时,能够有效地保障信息安全。
|
8月前
|
安全 项目管理 数据安全/隐私保护
解密项目管理系统:如何确保用户数据安全?
Zoho Projects保障用户数据安全,措施包括:拥有专业隐私安全团队,执行安全计划和合规审查;内部和第三方审计确保符合安全标准;在北京和上海建有安全数据中心,实行数据实时备份。用户层面,提供单点登录和多因素验证(如Zoho OneAuth和Yubikey支持)增强账户安全。此外,Zoho遵循GDPR、国家信息安全等级保护三级认证、SOC2 Type Ⅱ、ISO 27001、ISO 27017、ISO 27018和ISO 27701等多重国际安全和隐私保护标准。
77 3
|
8月前
|
存储 关系型数据库 MySQL
备份和恢复:确保数据安全
备份和恢复:确保数据安全
119 1
|
持续交付 开发工具 git
【白嫖】GitHub Action 云扫描器
GitHub Action介绍 GitHub Actions 是一种持续集成和持续交付 (CI/CD) 平台,可用于自动化构建、测试和部署应用程序,执行代码质量检查,创建和发布软件包,发送通知,执行持续集成和持续部署等等。 可以根据自己的需求和工作流程来定义和配置这些自动化任务 。 - 官方中文文档 (https //docs.github.com/zh/actions/quick
162 0