Sebuah alat open-source baru bernama Betterleaks diperkenalkan sebagai solusi pemindaian secrets pada kode sumber, yang dirancang untuk menjadi penerus dari proyek populer Gitleaks.
Tool ini mampu memindai direktori, file, serta repository Git untuk mendeteksi informasi sensitif seperti kredensial, API key, private key, dan token yang mungkin tidak sengaja dimasukkan oleh pengembang ke dalam kode sumber.
Pentingnya Secrets Scanner
Secrets scanner merupakan utilitas khusus yang digunakan untuk menemukan data sensitif yang tersimpan di dalam repository kode.
Kesalahan konfigurasi atau kelalaian pengembang sering kali menyebabkan informasi penting seperti kredensial layanan cloud, token API, atau kunci enkripsi ikut terunggah ke repository, termasuk yang bersifat publik.
Hal ini menjadi target empuk bagi pelaku kejahatan siber yang secara aktif memindai repository publik untuk menemukan informasi sensitif yang dapat disalahgunakan.
Dengan menggunakan tool seperti Betterleaks, organisasi dapat mengidentifikasi dan menghapus informasi tersebut sebelum ditemukan oleh pihak yang tidak berwenang.
Penerus Proyek Gitleaks
Betterleaks dikembangkan oleh Zach Rice, Head of Secrets Scanning di perusahaan keamanan aplikasi Aikido Security.
Rice sebelumnya juga merupakan pencipta Gitleaks, sebuah tool pemindaian secrets yang sangat populer dengan lebih dari 26 juta unduhan di GitHub dan lebih dari 35 juta pull melalui Docker serta GitHub Container Registry.
Menurut Rice, Betterleaks dirancang sebagai evolusi dari Gitleaks dengan pendekatan yang lebih modern dan kemampuan deteksi yang lebih baik.
Fitur Utama Betterleaks
Betterleaks menawarkan sejumlah peningkatan teknis dibandingkan pendahulunya. Beberapa fitur utama yang tersedia dalam tool ini antara lain:
- Validasi berbasis aturan menggunakan Common Expression Language (CEL)
- Sistem pemindaian Token Efficiency Scanning berbasis tokenisasi BPE yang meningkatkan akurasi deteksi
- Implementasi murni menggunakan bahasa Go, tanpa ketergantungan pada CGO atau Hyperscan
- Kemampuan menangani secrets yang dikodekan berlapis, seperti encoding ganda atau tiga lapis
- Set aturan deteksi yang diperluas untuk berbagai penyedia layanan
- Pemindaian repository Git secara paralel untuk meningkatkan kecepatan analisis
Pendekatan tokenisasi yang digunakan diklaim mampu mencapai tingkat recall 98,6%, jauh lebih tinggi dibandingkan metode deteksi berbasis entropi yang hanya mencapai sekitar 70,4% pada dataset CredData.
Pengembangan Lanjutan
Pengembang juga mengungkapkan sejumlah fitur tambahan yang direncanakan untuk versi mendatang Betterleaks.
Beberapa di antaranya mencakup dukungan sumber data tambahan di luar repository Git, analisis berbasis large language model (LLM) untuk meningkatkan klasifikasi secrets, serta sistem yang dapat secara otomatis mencabut kredensial melalui API penyedia layanan.
Selain itu, pengembangan berikutnya juga akan mencakup fitur pemetaan izin akses, filter deteksi yang lebih canggih, serta peningkatan performa pemindaian.
Proyek Open-Source dengan Dukungan Komunitas
Betterleaks dirilis dengan lisensi MIT open-source dan dikelola oleh tim kecil yang terdiri dari beberapa kontributor dari berbagai organisasi besar.
Kontributor proyek ini berasal dari sejumlah perusahaan dan institusi teknologi, termasuk Royal Bank of Canada, Red Hat, dan Amazon.
Dalam pengembangannya, Rice menekankan bahwa Betterleaks dirancang untuk mendukung penggunaan manusia sekaligus kompatibel dengan workflow otomatis berbasis AI agent, termasuk alat yang memindai kode yang dihasilkan oleh sistem AI.
Pendekatan ini diharapkan membuat Betterleaks relevan dengan ekosistem pengembangan perangkat lunak modern yang semakin mengandalkan otomatisasi dan kecerdasan buatan.