開發者筆電上，躺著一堆明文金鑰

一個看似正常的開發套件

假設有一家二十人的 SaaS 新創。工程師 N 安裝了一個看似正常的開發套件，裡面藏著竊取程式，會把家目錄的設定檔打包上傳。幾天後，公司的雲端帳號出現陌生的存取金鑰。調查發現，那把被盜的雲端金鑰是 N 兩年前建立、存在本機設定檔裡的，而且權限是管理員等級。

先說清楚，這是示意情境，不是真實事件，公司、人物與經過都是為了說明而設。但打開任何一位工程師的家目錄，你多半會找到類似的東西：放著雲端金鑰的設定檔、寫死資料庫密碼的測試腳本、從同事那裡複製來的 API token、好幾年沒換的 SSH 私鑰。

這篇要講的只有一件事：不在 git 裡，不代表安全；本機上的長期金鑰，要換成會自己過期的憑證。

本機不等於安全

第一層是位置。惡意套件、竊密程式專找常見的設定檔路徑，家目錄是它們最先翻的地方。

第二層是壽命。本機金鑰很少輪換，建立那天到被偷那天，可能已經好幾年。

第三層是權限。為了方便，常常直接給了管理員權限，一把金鑰就能做所有事。

最後是清單。公司不知道哪台筆電上有哪些金鑰，出事時也就答不出還要撤銷哪幾把。

這篇示意情境裡，被帶走的是什麼

這是示意情境，沒有實際外洩；下表列的是開發者筆電上最常見、也最常被竊密程式帶走的憑證。

第二列標成缺口，是因為竊取程式打包了哪些檔案，要做惡意程式分析才知道。

能證明的、只能推論的

這篇是觀點文，情境是示意的，所以能證明的只有官方文件與專案頁寫明的事；情境裡的經過只能算推論，不知道的就寫成缺口。

不花錢就能做的流程

到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的六步流程。

第一步，自我盤點。 請每位工程師用開源掃描器掃自己的家目錄。結果只給本人看，自己處理，降低抗拒。

第二步，能換成短期憑證的就換。 雲端存取改用 SSO 登入、取得短期憑證（主要雲端平台的命令列工具多半支援），不要在本機放長期存取金鑰。

第三步，權限縮小。 開發用的帳號只給開發環境的權限；正式環境的金鑰不放在個人電腦上。

第四步，找出閒置金鑰。 AWS IAM Access Analyzer 可以找出未使用的存取金鑰（付費功能）；Google Cloud 的 IAM 建議工具可以提出縮小角色的建議。

第五步，全碟加密和套件衛生。 開啟全碟加密；安裝套件前確認來源，鎖定版本。

第六步，離職時撤銷。 離職檢查表加上「撤銷此人建立的所有金鑰」。

什麼時候不需要買工具

工程師在十人以下的話，開源掃描加上「改用短期憑證」就能處理大部分問題。需要集中看到全公司裝置上的金鑰狀況時，才需要端點層級的工具。

市面上大致分四類。開源掃描器：Gitleaks、TruffleHog。雲端原生：短期憑證登入、AWS IAM Access Analyzer、Google Cloud IAM 建議工具。密鑰管理：雲端原生的 AWS Secrets Manager、Google Cloud Secret Manager；開源的 Infisical、OpenBao；商用的密碼和密鑰管理器（例如 1Password 的開發者密鑰管理，官網說程式可以在執行時透過 CLI 或 SDK 取出密鑰）。端點管理：MDM 和端點偵測回應類產品，可以搭配政策檢查。

限制也要一起看：把金鑰移進保管庫可以減少明文檔案，但如果電腦已經被入侵，執行時取出的金鑰還是可能被攔截，這無法取代端點防護；掃描靠規則比對，會有漏判。選的時候問三件事：雲端平台本身有沒有短期憑證機制（有就先用）、團隊規模（人少靠自我盤點，人多需要集中可見性）、裝置管理現況（沒有 MDM 的話，端點層級的工具很難推行）。

後續更新兩則。2026/07/28，1Password 宣布 Developer Watchtower 正式提供，官網說可以找出開發者裝置上的明文密鑰，並移進受管理的保管庫。2026/10/17 查證時，1Password Device Trust 的英文產品頁列出「AI 與密鑰探索」功能（推出日期未在頁面上註明）；另外，Gitleaks 的 README 寫明專案「功能完整」，之後只發布安全修補，作者轉而開發 Betterleaks。

這篇提到的項目要花多少錢

來源沒有列損失金額與商用方案價格，表裡照實標成未公開或估算。

最便宜的一列是掃描，最貴的一列是那把兩年沒換、權限是管理員的金鑰被拿去之後，你還不知道它做了什麼。

你可以學到什麼

站在攻擊者那一側看，開發者的家目錄是一個路徑固定、內容豐富的保險箱。他不用猜，只要知道常見設定檔放在哪；裡面的金鑰多半長期有效、權限又大，一台筆電就夠了。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。