Entropy, alat CLI untuk memindai file dan menemukan baris dengan entropi tinggi

Entropy

Entropy adalah alat CLI yang memindai baris dengan entropi tinggi di codebase untuk membantu menemukan informasi rahasia.

Cara instalasi

Instalasi dari source menggunakan Go (disarankan)

• go install github.com/EwenQuim/entropy@latest
• Perintah entropy dapat digunakan
• Opsi tambahan: entropy -h, entropy -top 20 -ext go,py,js, entropy -top 5 -ignore-ext min.js,pdf,png,jpg,jpeg,zip,mp4,gif my-folder my-file1 my-file2
• Instalasi satu baris: go run github.com/EwenQuim/entropy@latest

Instalasi menggunakan Brew

• Sedang dikerjakan (WIP)

Instalasi menggunakan Docker

• docker run --rm -v $(pwd):/data ewenquim/entropy /data
• Opsi tambahan: docker run --rm -v $(pwd):/data ewenquim/entropy -h, docker run --rm -v $(pwd):/data ewenquim/entropy -top 20 -ext go,py,js /data, docker run --rm -v $(pwd):/data ewenquim/entropy -top 5 /data/my-folder /data/my-file
• Image tersedia di Docker Hub
• Opsi -v digunakan untuk me-mount direktori saat ini ke dalam container
• Harus menambahkan /data di akhir perintah, jika tidak, alat akan mencari di dalam container, bukan di file system lokal

Proyek lain

• Fuego: framework Go untuk menghasilkan dokumentasi OpenAPI dari codebase
• Renpy-Graphviz: alat untuk membuat grafik layar dan label dari game engine Ren'Py

Opini GN⁺

• Penguatan keamanan: Dapat membantu memperkuat keamanan dengan otomatis menemukan informasi rahasia di codebase.
• Kemudahan penggunaan: Menyediakan berbagai metode instalasi sehingga pengguna dapat memasang dan menggunakan alat ini dengan mudah.
• Alat serupa: Alat dengan fungsi serupa antara lain git-secrets, truffleHog, dan lainnya.
• Pertimbangan adopsi: Saat menggunakan alat ini, ukuran dan kompleksitas codebase perlu dipertimbangkan, dan baris dengan entropi tinggi tidak selalu berarti informasi rahasia.
• Untung dan rugi dari pilihan teknologi: Mengadopsi Entropy dapat membantu mencegah insiden keamanan, tetapi hasil false positive bisa muncul sehingga perlu peninjauan tambahan.

[GN⁺]

Komentar Hacker News

• Menggunakan skrip Perl: Mengusulkan cara mengukur entropi teks dengan menggunakan skrip Perl. Ada masalah bahwa baris yang pendek tidak terkompresi dengan baik.
• Kata sandi database: Menyelesaikan masalah dengan mengatur semua kata sandi database menjadi 'abcd'.
• Rasa ingin tahu tentang penggunaan entropi: Sedang mencari tulisan yang bagus tentang cara menggunakan entropi untuk analisis teks. Penasaran dengan definisi dan efektivitas entropi.
• Masalah definisi entropi: Mendefinisikan entropi teks itu ambigu. Dibutuhkan cara yang lebih baik untuk membandingkan entropi bahasa alami dan string acak.
• Proyek terkait: Memperkenalkan proyek terkait seperti TruffleHog, detect-secrets, dan Semgrep Secrets.
• Ucapan terima kasih: Berterima kasih kepada DrJones yang beberapa tahun lalu mengajukan pertanyaan tentang entropi, sambil membagikan tautan ke tulisan terkait yang bagus.
• Pujian untuk alat CLI: Memuji bahwa ini adalah alat CLI yang berguna, dan kode Go-nya juga hebat.
• Program 'ent': Mengingatkan pada program 'ent' yang sudah lama digunakan.
• Penggunaan model bahasa: Mengusulkan bahwa model bahasa seperti Llama 3 dapat memodelkan keterkejutan per token untuk mendeteksi area berentropi tinggi.
• Usulan peningkatan alat CLI: Mengusulkan akan bagus jika ditambahkan flag untuk otomatis membaca file .gitignore dan mengecualikan isinya, serta berbagai strategi deteksi rahasia.
• Metode perbandingan kompresi: Mengusulkan metode mengompresi file lalu membandingkan ukuran hasil kompresi dengan ukuran asli. File terenkripsi tidak terkompresi sebaik kode.