开发者令牌泄漏的那些出口 — VS Code 一键令牌窃取事件与密钥卫生

[1] 受害者点击恶意链接（邮件、聊天、网页）
        |
        v
[2] 通过自定义 URL scheme (vscode://) 把 IDE 唤到前台
        |
        v
[3] IDE 扩展或内置处理器没有充分校验 URL 参数
        |
        v
[4] OAuth 回调/认证流程被引导到攻击者控制的重定向
        |
        v
[5] GitHub 认证令牌被送到攻击者的端点
        |
        v
[6] 攻击者用该令牌访问受害者的仓库

# 反模式 — 千万不要这么做
export GITHUB_TOKEN=ghp_xxxxxxxxxxxxxxxxxxxx
export AWS_SECRET_ACCESS_KEY=xxxxxxxxxxxx

1. 最小权限：只授予完成任务所必需的最小权限
2. 最小范围：显式选择目标仓库
3. 短寿命：尽可能短的过期时间（例如 7 天、30 天）
4. 单一用途：一个令牌只用于一个用途
5. 可追溯：给令牌起一个能看出用途的名字

- 个人 PAT：90 天以内过期 + 每季度轮换
- CI/自动化令牌：30 天以内，或改用 OIDC 替代（后述）
- 服务账号令牌：通过密钥管理器自动轮换
- 怀疑泄漏时：立即吊销 + 重新签发，没有例外

# 确认当前认证状态与令牌 scope
gh auth status

# 把令牌委托给钥匙串等安全存储（避开明文文件）
gh auth login --hostname github.com --git-protocol https

git push
   |
   v
[GitHub 服务器] -- 在推送的 diff 中检测密钥模式
   |
   +-- 发现密钥 --> 拒绝推送，向开发者提示位置
   |
   +-- 干净 --> 推送成功

# .gitignore
.env
.env.*
!.env.example
*.pem
*.key
.git-credentials

# .pre-commit-config.yaml
repos:
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.18.0
    hooks:
      - id: gitleaks

pip install pre-commit
pre-commit install
# 从现在起每次提交都会自动运行 gitleaks

# .gitleaks.toml
title = "公司内部 gitleaks 配置"

[extend]
useDefault = true

[[rules]]
id = "internal-api-key"
description = "公司内部 API 密钥模式"
regex = '''myco_(live|test)_[0-9a-zA-Z]{32}'''
tags = ["key", "internal"]

[allowlist]
description = "允许测试夹具"
paths = [
  '''test/fixtures/.*''',
]

# .github/workflows/gitleaks.yml
name: Secret Scan
on: [pull_request]

permissions:
  contents: read

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0
      - uses: gitleaks/gitleaks-action@v2
        env:
          GITLEAKS_LICENSE: ${{ secrets.GITLEAKS_LICENSE }}

# 危险 — 把凭据以明文写入 ~/.git-credentials
git config --global credential.helper store

# macOS — 委托给 Keychain
git config --global credential.helper osxkeychain

# Windows — Credential Manager
git config --global credential.helper manager

# Linux — libsecret（GNOME Keyring 等）
git config --global credential.helper libsecret

# 或者只用缓存（短暂驻留内存，不写磁盘）
git config --global credential.helper 'cache --timeout=3600'

# ~/.gitconfig
[credential "https://github.com"]
    helper = osxkeychain
[credential "https://gitlab.internal.example.com"]
    helper = osxkeychain

已安装的 VS Code 扩展的能力：
  - 读取工作区的所有文件（包括 .env）
  - 发送任意网络请求
  - 在集成终端中执行命令
  - 访问通过 SecretStorage API 保管的令牌（扩展之间有隔离，但并不完备）
  - 自动更新 — 昨天还安全的扩展，今天可能就是恶意的

[ ] 只安装发布者 (publisher) 身份已验证的扩展
[ ] 确认下载量、更新频率，以及是否开源
[ ] 启用工作区信任 (Workspace Trust) 功能 — 在不受信任的文件夹中限制扩展
[ ] 不用的扩展要停用或删除
[ ] 敏感项目在单独的配置文件或单独的机器上进行
[ ] 关闭扩展自动更新并审查变更内容（高敏感环境）

[传统方式 — 长期密钥]
  在 CI 密钥中保存 AWS 访问密钥 --> 泄漏即永久沦陷

[OIDC 方式 — 短期令牌]
  GitHub Actions 签发 OIDC 令牌
        |
        v
  云端校验 OIDC 令牌的签发者/仓库/分支
        |
        v
  校验通过则签发短期凭据（数十分钟过期）
        |
        v
  作业结束的同时凭据消亡

# .github/workflows/deploy.yml
name: Deploy
on:
  push:
    branches: [main]

permissions:
  id-token: write   # 签发 OIDC 令牌所必需
  contents: read

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: arn:aws:iam::123456789012:role/github-deploy
          aws-region: ap-northeast-2
          # 没有访问密钥 — 通过 OIDC 直接扮演角色
      - run: aws s3 sync ./dist s3://my-bucket/

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::123456789012:oidc-provider/token.actions.githubusercontent.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "token.actions.githubusercontent.com:aud": "sts.amazonaws.com"
        },
        "StringLike": {
          "token.actions.githubusercontent.com:sub": "repo:myorg/myrepo:ref:refs/heads/main"
        }
      }
    }
  ]
}

[立即] 吊销
  - 立刻 revoke 泄漏或可疑的令牌（GitHub Settings、云控制台）
  - 吊销要排在签发新令牌之前 — 把暴露窗口压到最小

[5 分钟] 掌握影响范围
  - 确认该令牌的权限范围（涉及哪些仓库、能做哪些操作）
  - 在 GitHub 审计日志 / 云端 CloudTrail 中查询异常活动
  - 列出该令牌所能实施的行为（push、发布包、创建资源）

[30 分钟] 遏制与排查
  - 在所有用过同一令牌的系统上更换令牌
  - 识别并审查可疑的提交/发布/部署
  - 排查是否新增了 SSH 密钥、deploy key（后门）

[事后] 防止复发
  - 移除明文保管路径，迁移到钥匙串或密钥管理器
  - 能换成 OIDC 的令牌就换掉
  - 确认已引入 gitleaks pre-commit + CI 扫描
  - 如果密钥留在了 git 历史里，考虑重写历史

[ ] 禁止把长期令牌 export 到环境变量
[ ] 把 git credential.helper 设为操作系统钥匙串而非 store
[ ] PAT 使用 fine-grained，最小权限 + 设置过期
[ ] .gitignore 中包含 .env、*.pem、*.key、.git-credentials
[ ] 安装 gitleaks pre-commit hook
[ ] 启用 VS Code 工作区信任，扩展保持最少
[ ] 每季度检查并轮换令牌

[ ] 对全部仓库启用 secret scanning + push protection
[ ] 把 CI 的长期密钥替换为 OIDC 联邦
[ ] 制定 fine-grained PAT 策略 + 限制 classic PAT
[ ] 把 gitleaks 登记为 PR 的必需检查
[ ] 把令牌泄漏事故响应 runbook 写成文档
[ ] 在开发者入职培训中加入密钥卫生教育