{"meta":{"title":"Безопасное хранение секретов","intro":"Узнайте о секретах разработки программного обеспечения и о том, как их безопасно управлять.","product":"Начало работы","breadcrumbs":[{"href":"/ru/get-started","title":"Начало работы"},{"href":"/ru/get-started/learning-to-code","title":"Узнайте, как кодировать"},{"href":"/ru/get-started/learning-to-code/storing-your-secrets-safely","title":"Безопасное хранение секретов"}],"documentType":"article"},"body":"# Безопасное хранение секретов\n\nУзнайте о секретах разработки программного обеспечения и о том, как их безопасно управлять.\n\n## Что такое секрет?\n\nВ разработке программного обеспечения секрет — это часть конфиденциальной информации, которая используется для проверки подлинности или авторизации доступа к системам, службам, данным и API. Вот некоторые примеры.\n\n* **Ключи** API и **маркеры** доступа, позволяющие взаимодействовать с внешними службами, такими как REST API GitHub. Маркеры доступа также позволяют службам, таким как GitHub Actions, выполнять задачи, необходимые для проверки подлинности, так как мы будем экспериментировать позже.\n* **Учетные** данные базы данных, предоставляющие доступ к локальным и внешним базам данных и хранилищу.\n* **Закрытые ключи, такие как частные ключи** SSH и PGP, которые можно использовать для доступа к другим серверам и шифрования данных.\n\nТак как секреты предоставляют так много доступа, включая критически важные системы, мы можем понять, почему это так важно, чтобы обеспечить безопасность\\*\\* секретов\\*\\*.\n\n### Что может произойти, когда секрет предоставляется?\n\n* Злоумышленники могут получить **несанкционированный доступ ко** всему секрету, к которым разрешен доступ.\n* Хакеры могут **украсть данные**, включая конфиденциальные пользовательские данные. Это может иметь конфиденциальность и юридические последствия и вред доверия к вам и вашему приложению.\n* Предоставленные секреты могут **стоить вам деньги** , если хакеры выполняют несанкционированные рабочие нагрузки на учетных записях поставщика облачных служб.\n* Хакеры могут использовать предоставленный секрет для удаления, изменения и нарушения серверов, которые могут привести **к простою и потере** данных.\n\nРассмотрим все доступ и способности секрет предоставляет вам и то, что хакер может сделать с ним. Например, если учетная запись personal access token для учетной записи GitHub была предоставлена, хакер может опубликовать и внести изменения в GitHub как вы.\n\n## Рекомендации по управлению секретами\n\nЧтобы избежать этих типов проблем, следуйте рекомендациям, чтобы предотвратить утечки и ограничить ущерб, если секрет когда-либо подвергается.\n\n### Следуйте принципу **наименьших привилегий (PoLP)**\n\nПо возможности ограничьте то, что может сделать секрет, и сможете получить доступ только к необходимым. Например:\n\n* Если секрет будет использоваться только для чтения данных, а не внесения изменений в данные, выберите его **только** для чтения.\n* Если api, который вы используете, позволяет ограничить секрет только определенными областями или разрешениями, выберите **только те, которые вам нужны**. Например, если вам нужно создать проблемы только с секретом GitHub, нет причин для доступа к содержимому репозитория или что-либо другое.\n* Если секрет предоставит злоумышленнику полный доступ к учетной записи пользователя, принадлежащей ей, **рассмотрите возможность создания учетных** записей служб, которые могут владеть секретом.\n\n### Защита секретов в приложении\n\n* **Никогда не закодировать секрет**. Всегда используйте **переменные среды или средства управления секретами платформы (например, переменных** данных.product.github %}секреты репозитория).\n* Если вам нужно поделиться секретом с кем-то, используйте специальное средство, например диспетчер\\*\\* паролей\\*\\*. Никогда не отправлять секреты по электронной почте или мгновенному сообщению.\n* Если это возможно, установите **даты** окончания срока действия и **регулярно поворачивайте секреты** . Это снижает риск использования старых секретов.\n* Если приложение создает журнал, убедитесь, что **секреты будут отредактированы перед ведением** журнала. В противном случае активные секреты можно сохранить в файлах с открытым текстом.\n\n### Ограничение ущерба, если секрет предоставляется\n\n* Рассмотрите скомпрометированный секрет, даже если он был предоставлен только на секунду, и **немедленно** отмените секрет. Затем создайте новый секрет и сохраните его безопасно.\n* Проверьте все **журналы** действий, которые могут отображать любые подозрительные действия, выполненные с скомпрометированный секрет.\n* Рассмотрим, как секрет был предоставлен и внесите изменения в процессы, чтобы это не могло повториться.\n\n## Как GitHub помогает защитить секреты\n\nЕсть много, что вы можете сделать, чтобы сохранить секреты в безопасности, но есть также много, что GitHub делает, чтобы помочь сохранить секрет секреты. Все делают ошибки, и мы здесь, чтобы помочь с функциями, которые будут перехватывать любые секреты, которые вы случайно предоставляете:\n\n* \\*\\*\\*\\*Защита от отправки, с которой мы будем экспериментировать позже, блокирует отправку секретов в репозитории на GitHub.\n* \\*\\*\\*\\* Сканирование секретов сканирует репозитории и создает оповещения при обнаружении секрета. Для некоторых секретов мы также уведомляем поставщика, чтобы они могли принять меры, такие как отмена секрета автоматически.\n\n## Практика безопасного хранения секрета\n\nВ этом упражнении мы создадим personal access token и безопасно сохраните его, чтобы использовать его с GitHub Actions. Действие, которое мы создадим, — это простой рабочий процесс, который отвечает на проблему.\n\n### 1. Создание репозитория практики\n\nНачнем с создания репозитория для работы. У `new2code` учетной записи есть репозиторий шаблонов, который можно использовать для быстрого начала работы.\n\n1. Перейдите [на новую страницу](https://github.com/new?template_owner=new2code\\&template_name=secret-action) репозитория. После этой ссылки предварительно выберите шаблон в учетной `new2code` записи.\n2. В разделе \"Владелец\" убедитесь, что выбрана учетная запись пользователя.\n3. В поле \"Имя репозитория\" введите `secret-action`.\n4. Под полем описания выберите **\"Общедоступный** \", чтобы задать видимость репозитория.\n5. Щелкните **Создать репозиторий**.\n\n### 2. Фиксация фиктивного маркера\n\nВсе делают ошибки, и возможно, что вы случайно зафиксируете секрет в какой-то момент в пути написания кода. В этом упражнении мы намеренно зафиксируем поддельный **токен** , чтобы мы могли ознакомиться с оповещением, которое активируется.\n\n1. Перейдите к только что созданному репозиторию.\n\n2. Перейдите к файлу рабочего процесса YAML, щелкнув `.github/workflows` список файлов.\n\n3. Откройте файл рабочего процесса, щелкнув `comment.yml` список файлов.\n\n4. Чтобы изменить файл рабочего процесса, в правом верхнем углу щелкните .\n\n5. В строке 13 вставьте `GH_TOKEN: \"\"`этот фиктивный маркер между кавычками:\n\n ```text\n secret_scanning_ab85fc6f8d7638cf1c11da812da308d43_abcde\n ```\n\n Конечный результат должен выглядеть следующим образом:\n\n ```yaml\n GH_TOKEN: \"secret_scanning_ab85fc6f8d7638cf1c11da812da308d43_abcde\"\n ```\n\n6. Чтобы попытаться зафиксировать изменение, в правом верхнем углу нажмите кнопку **\"Зафиксировать изменения\",** а затем снова нажмите кнопку **\"Зафиксировать изменения** \" в диалоговом окне.\n\n7. Теперь вы должны увидеть предупреждение о защите от пуша, которое сообщает: «Секретное сканирование нашло секрет GitHub Secret Scanning на строке 13».\n\n \n\n Если бы мы не экспериментировали с фиктивным маркером, это оповещало нас о том, что мы были одним шагом от предоставления маркера. Просмотрите параметры, которые можно выбрать в оповещении.\n\n8. Чтобы остановить фиксацию и избежать предоставления секрета, нажмите кнопку **\"Отмена**\". В правом верхнем углу нажмите кнопку **\"Отмена изменений**\", а затем отмените несохраненные изменения при появлении запроса.\n\n### 3. Создание реального токена\n\nТеперь давайте попробуем выполнить наши рекомендации. Сначала мы создадим personal access token, что позволит действию действовать от вашего имени (создаваемый комментарий будет отображаться из учетной записи пользователя).\n\n> \\[!NOTE] Обратите внимание, что мы следуйте принципу наименьших привилегий для каждого шага конфигурации. У маркера будет самый короткий срок действия, только у него есть доступ к нужному репозиторию и минимальные разрешения, необходимые для работы.\n\n1. Перейдите [на новую страницу](https://github.com/settings/personal-access-tokens/new) personal access token.\n2. В разделе \"Имя токена\" укажите новое имя маркера. Вы можете использовать что-то подобное \"Маркер действия\".\n3. В разделе \"Срок действия\" выберите \"7 дней\".\n4. В разделе \"Доступ к репозиторию\" выберите **\"Только репозитории**\".\n5. В раскрывающемся списке \"Выбор репозиториев\" выберите **только** созданный ранее репозиторий практики.\n6. Справа от \"Разрешения репозитория\" в разделе \"Разрешения\" щелкните для просмотра всех возможных разрешений.\n7. Прокрутите вниз до раздела \"Проблемы\" и в раскрывающемся списке справа выберите \"Чтение и запись\".\n8. В нижней части страницы нажмите кнопку **\"Создать токен**\". При появлении запроса подтвердите, снова нажав кнопку **\"Создать маркер** \".\n\nВажно безопасно обрабатывать полученный маркер с этого момента. Как мы будем использовать маркер вскоре, вы можете скопировать его в буфер обмена кратко.\n\n### 4. Безопасное хранение маркера\n\nТеперь мы можем безопасно хранить новый маркер в нашем репозитории.\n\n1. Перейдите к репозиторию, созданному в начале упражнения.\n2. Под именем репозитория щелкните ** Settings**. Если вкладка \"Параметры\" не отображается, выберите **раскрывающееся меню ** и нажмите кнопку **\"Параметры**\".\n\n \n3. Под именем репозитория щелкните ** Settings**. Если вкладка \"Параметры\" не отображается, выберите **раскрывающееся меню ** и нажмите кнопку **\"Параметры**\".\n\n \n4. В разделе \"Секреты репозитория\" щелкните **\"Создать секрет** репозитория\".\n5. **В поле \"Имя\"** введите имя секрета. Для этого упражнения мы будем использовать `MY_TOKEN`.\n6. В поле \"Секрет\"\\*\\* вставьте созданные \\*\\*ранее данные personal access token.\n7. Щелкните **Добавить секрет**.\n\nВаш секрет теперь безопасно зашифрован и готов к использованию!\n\n### 5. Ссылка на маркер в нашем действии\n\nТеперь мы можем обновить файл рабочего процесса YAML, чтобы использовать маркер и проверить его работу.\n\n1. Вернитесь к репозиторию. Если вы находитесь в параметрах репозитория, вы можете щелкнуть ** Code** под именем репозитория.\n\n2. Перейдите к файлу рабочего процесса YAML, щелкнув `.github/workflows` список файлов.\n\n3. Откройте файл рабочего процесса, щелкнув `comment.yml` список файлов.\n\n4. Чтобы начать редактирование файла рабочего процесса, в правом верхнем углу щелкните .\n\n5. В строке 13 `GH_TOKEN: \"\"`замените пустые кавычки `${{ secrets.MY_TOKEN }}`на . Это будет ссылаться на секрет репозитория, который мы добавили ранее.\n\n ```yaml\n GH_TOKEN: ${{ secrets.MY_TOKEN }}\n ```\n\n6. Чтобы зафиксировать изменение, в правом верхнем углу нажмите кнопку **\"Зафиксировать изменения\".**\n\n7. В диалоговом окне \"Фиксация изменений\" измените \"Зафиксировать сообщение\", чтобы отразить внесенные изменения. Например, можно ввести \"Обновление рабочего процесса для использования секрета репозитория\".\n\n8. Убедитесь, что выбран параметр \"Зафиксировать непосредственно в `main` ветви\".\n\n9. Щелкните **Зафиксировать изменения**.\n\n### 6. Тестирование маркера и рабочего процесса\n\nМы должны быть все настроены сейчас! Давайте пройдем и протестируем рабочий процесс.\n\npersonal access token 1. Щелкните **Новая проблема**.\n\n1. В разделе \"Добавить название\" можно ввести любой нужный заголовок.\n2. В разделе \"Добавить описание\" в текстовой области введите `Hello`.\n3. Под текстовой областью нажмите кнопку **\"Создать**\".\n\nПосле завершения рабочего процесса появится новый комментарий. Комментарий будет создан самостоятельно, так как мы используем ваш токен и содержат приветствие в ответ.\n\n## Следующие шаги\n\nДля более подробного изучения защиты от сканирования секретов и принудительной отправки можно выполнить [курс \"Введение в проверку секретов](https://github.com/skills/introduction-to-secret-scanning/tree/main) \" в GitHub Skills.\n\nЕще одной важной частью безопасности кода является определение уязвимостей кода и исправление уязвимостей в проектах. См [. раздел AUTOTITLE](/ru/get-started/learning-to-code/finding-and-fixing-your-first-code-vulnerability)."}