Betterleaks giúp phát hiện secrets chính xác tới 98,6% – bước tiến mới trong bảo mật mã nguồn

[Duy Linh]

Zach Rice, người sáng lập công cụ quét tài liệu mật nổi tiếng Gitleaks, đã chính thức ra mắt phiên bản kế nhiệm mang tên Betterleaks.

Công cụ mã nguồn mở Betterleaks quét các tập tin.
Được tài trợ bởi Aikido Security, dự án mã nguồn mở này hướng đến mục tiêu trở thành giải pháp thay thế nhanh hơn, thông minh hơn và có khả năng cấu hình cao hơn để phát hiện các bí mật được mã hóa cứng trong cơ sở mã.

Sau khi mất quyền kiểm soát quản trị hoàn toàn đối với kho lưu trữ Gitleaks ban đầu, Zach Rice gia nhập Aikido với vai trò Trưởng bộ phận Quét Bí mật, tập trung xây dựng một công cụ cải tiến toàn diện so với phiên bản trước.

Betterleaks được thiết kế để thay thế trực tiếp Gitleaks, cho phép các tùy chọn và cấu hình CLI hiện có hoạt động ngay sau khi cài đặt. Tuy nhiên, bên trong, hệ thống đã được đại tu hoàn toàn nhằm cải thiện hiệu suất và độ chính xác.

Dự án sử dụng giấy phép MIT và có sự tham gia của các đồng quản trị giàu kinh nghiệm đến từ Red Hat, Amazon và Ngân hàng Hoàng gia Canada, đảm bảo tính ổn định và phát triển lâu dài.

Các tính năng nổi bật của Betterleaks​

Betterleaks mang đến nhiều cải tiến đáng chú ý trong lĩnh vực quét bí mật:

• Áp dụng quy tắc xác thực dựa trên ngôn ngữ biểu thức chung (CEL), giúp tạo logic lọc có độ chính xác và khả năng tùy chỉnh cao
• Sử dụng phương pháp token hóa BPE thay cho entropy truyền thống, nâng tỷ lệ phát hiện lên 98,6% (so với 70,4% trước đây)
• Được viết bằng Go, không phụ thuộc CGO hay Hyperscan, giúp triển khai nhanh và linh hoạt
• Tích hợp khả năng phát hiện mã hóa mặc định, tự động xử lý bí mật được mã hóa nhiều lớp
• Hỗ trợ quét Git song song, giúp xử lý lịch sử kho lớn nhanh hơn các giải pháp khác
• Hệ thống quy tắc mở, liên tục được cập nhật nhờ đóng góp từ cộng đồng

Hướng phát triển và vai trò trong kỷ nguyên AI​

Nhóm phát triển đã lên kế hoạch cho phiên bản 2 với nhiều tính năng mới:

• Quét linh hoạt trên mọi nguồn dữ liệu tùy chỉnh
• Thu hồi bí mật tự động thông qua API của nhà cung cấp
• Lập bản đồ quyền để xác định mức độ truy cập khi bí mật bị lộ

Ngoài ra, Aikido dự kiến tích hợp hỗ trợ LLM, sử dụng dữ liệu ẩn danh để phân loại bí mật và đề xuất phương thức xác thực phù hợp theo ngữ cảnh.

Betterleaks cũng được thiết kế để phù hợp với kỷ nguyên AI, khi các nhà phát triển ngày càng sử dụng các công cụ như Claude Code và Cursor.

Các tác nhân AI cần công cụ dòng lệnh hiệu quả để quét mã do chính chúng tạo ra mà không vượt quá giới hạn token. Betterleaks cung cấp khả năng kiểm soát đầu ra chặt chẽ và tốc độ xử lý nhanh, phù hợp để tích hợp trực tiếp vào quy trình bảo mật tự động hoặc săn lỗi. (gbhackers)

Đọc chi tiết tại đây: https://gbhackers.com/betterleaks-launches-as-open-source-tool/

 

Được phối hợp thực hiện bởi các chuyên gia của Bkav, cộng đồng An ninh mạng Việt Nam WhiteHat và cộng đồng Khoa học công nghệ VnReview