FakeKey : un outil de sécurité pour clés API basé sur Rust qui remplace les clés réelles par des fausses

FakeKey est un outil de sécurité pour clés API basé sur Rust qui remplace les vraies clés API par des fausses dans les environnements d'application. L'outil répond aux risques d'attaques de la chaîne d'approvisionnement comme ceux observés lors des incidents récents impliquant LiteLLM et Axios, où des bibliothèques compromises peuvent scanner et exfiltrer immédiatement les clés API.

Fonctionnement de FakeKey

FakeKey fonctionne en s'assurant que les agents et dépendances ne voient que de fausses clés API pendant le fonctionnement normal. Les vraies clés sont stockées de manière sécurisée, chiffrées dans le trousseau natif du système. Ce n'est qu'au moment où une requête HTTP/S est envoyée que FakeKey injecte la vraie clé dans la requête.

Cette approche rend les clés divulguées inutiles même dans des environnements compromis. Comme décrit dans la source : "Même si une dépendance est compromise, l'attaquant ne peut voler que des chaînes inutiles."

Problème résolu

L'outil répond à la réalité selon laquelle il est presque impossible de garantir que tous les logiciels et dépendances NPM sont à l'abri des attaques de la chaîne d'approvisionnement. Ces attaques sont souvent découvertes seulement après que des dégâts sont causés, les clés API étant fréquemment exposées dans les fichiers d'environnement—y compris les clés LLM liées à la facturation et les jetons sensibles comme les clés Feishu (Lark).

Au lieu d'essayer de prévenir complètement l'empoisonnement, FakeKey change d'approche pour rendre les fuites inutiles en s'assurant que les dépendances compromises ne peuvent accéder qu'à de fausses clés.

Source et disponibilité

FakeKey est disponible sur GitHub à https://github.com/happyvibing/fakekey. L'outil a été développé en réponse aux incidents récents de sécurité de la chaîne d'approvisionnement et représente une approche différente de la protection des clés API dans des environnements où la sécurité complète des dépendances ne peut être garantie.