Max Howell
私が Homebrew を作ってから、Apple は Mac アプリのセキュリティを大きく進化させました。私はコマンドラインにも同じように取り組んでいます。
Automic Vault は対応 CLI ツールの認証情報を保護し、操作ごとに使用を認可することで、macOS のセキュリティを補完します。いつものコマンドはそのまま使えます。
macOS はアプリを守ります。 私たちはコマンドラインを守ります。
私が Homebrew を作ってから、Apple は Mac アプリのセキュリティを大きく進化させました。私はコマンドラインにも同じように取り組んでいます。 Apple は長年にわたり、Gatekeeper、公証、マルウェア検査、機密データへのアクセス許可によって Mac アプリのセキュリティを強化してきました。 コマンドラインツールは今も、同じユーザー権限で動く別のコードが読めるファイルやヘルパーに認証情報を保存することがあります。エージェントや依存パッケージが、そのアクセスを使って確認なしにリリースを公開したり、クラウド環境を変更したりできてしまいます。 Automic Vault は macOS のコード署名、Hardened Runtime、キーチェーンを基盤に、開発者の認証情報を保護し、対応するコマンドライン操作を認可します。
Mac 上で何が変わるか
GitHub の場合、av harden gh で署名済みの改修版 CLI をインストールし、既存の認証情報を Automic Vault の管理下に移します。使うコマンドは引き続き gh です。認証が必要な操作は Authorization Gate を通るようになります。 GitHub の Authorization Gate では、Issue の閲覧を許可しながら、書き込みやトークンの開示には Approval を求められます。Homebrew のハードニングは別途パッケージの変更を制御し、同じユーザー権限でのインストール領域の改変を防ぎます。保護の範囲は対応する Tool ごとに決まります。AV はすべてのコマンドをサンドボックス化したり、インストールしたパッケージの信頼性を保証したりするものではありません。
対象となる開発者
Automic Vault は、macOS のターミナル、エディタ、コーディングエージェントで CLI ツールを使う開発者向けです。対応する操作のうち、許可するものと承認が必要なものを選べます。
Automic Vault を作っている人
私は Max Howell です。開発ツールのインストールを簡単にするため、2009 年に Homebrew を作りました。Automic Vault では、特にエージェントが代わりにコマンドを実行する場合に、ツールが持つ認証情報と権限を制御する仕組みに取り組んでいます。
基本情報
製品: Automic Vault。開発者: Max Howell。対応環境: macOS。主な機能: 対応 CLI ツールのハードニング、認証情報の保護、使用時の認可。ソースコードは GitHub で公開しており、ライセンスは Apache-2.0 です。セットアップと保護範囲はドキュメントで確認できます。
いつものコマンドは変わりますか？
対応ツールをハードニングした後も、いつものコマンドを使えます。ツールに応じて設定の変更、ラッパーの導入、改修版のインストールを行い、保護対象の操作が認可を要求するようにします。
すべてのツールを保護しますか？
いいえ。保護範囲は対応するツールと操作によって異なります。各連携が保護する内容は Hardener のドキュメントで確認してください。
エージェントをサンドボックス化しますか？
いいえ。Automic Vault は保護された認証情報と対応操作を制御しますが、すべてのコマンドを捕捉したり、任意のローカル破壊を防いだりはしません。認可された実行ファイルも、受け取った認証情報を漏えいさせる可能性があります。
保護の範囲と限界
AV は、通常のユーザー権限で動くコードに対して、対応する認証情報を保護し、対応する Tool 操作を制御します。ラッパーはすべてのコマンドを捕捉するものではなく、パッケージをインストールしても安全性は保証されません。root やカーネルの侵害、任意のローカル破壊、Secret を受け取った後の Target の動作は保護範囲外です。
ローカル実行境界
Automic Vault は、エージェントが読めるファイルと、承認されたツールだけが受け取る認証情報を分けます。モデルの指示ではなく、Mac 上の実行経路で制御します。
Homebrew と CLI
多くの開発ツールは Homebrew、npm、PyPI、クラウド CLI から入ります。Vault は、そのツールが作る認証情報ファイルや危険な操作を検出して、必要な場所に承認を置きます。
Automic Vault