Résumé

  • LACNIC a publié le 7 octobre le guide de Guillermo Pereyra sur les canary tokens. Le cas Grafana de 2025 y illustre la façon dont une clé leurre peut signaler une tentative de validation.
  • Le transcript de Grafana situe un événement d’attaque à 04 h 30, l’activation d’un canari pendant une validation par TruffleHog à 06 h 15, la réponse à 08 h et l’analyse des journaux à 11 h. Il ne précise pas le fuseau horaire et ne dit pas que le premier repère correspond au premier accès.

Le signal ne date pas le début de l’intrusion

Un secret peut être dérobé avant que quiconque ne touche au leurre. Cette distinction se trouve au cœur du cas choisi par LACNIC pour illustrer son nouveau guide. Le 7 octobre, le Blog de LACNIC a publié l’explication de Guillermo Pereyra sur les canary tokens : des fichiers, identifiants, URL ou noms de domaine leurres qui déclenchent une alerte lorsqu’une interaction donnée les atteint. Une mention précise que les opinions des auteurs ne reflètent pas nécessairement celles de LACNIC. Ce texte pédagogique ne prouve ni que LACNIC a déployé ces jetons ni qu’il a connu un incident de ce type.

Le guide présente Grafana comme un exemple de détection rapide : après avoir récupéré des secrets dans des dépôts GitHub, un attaquant aurait tenté de vérifier une clé AWS qui était en fait un canari. LACNIC indique que l’alerte a été immédiate et l’intrusion contenue en quelques minutes. Les propres comptes rendus de Grafana distinguent plusieurs étapes que ce résumé rapproche.

Dans son avis de sécurité de 2025, Grafana Labs a expliqué qu’un workflow GitHub Actions mal configuré avait exposé un nombre limité de jetons. L’accès non autorisé s’était limité aux systèmes d’automatisation, sans toucher la production ni les artefacts de livraison. Grafana a invalidé les jetons exposés, renouvelé les identifiants, audité les workflows et examiné les journaux d’accès. Au moment de la publication, l’enquête se poursuivait ; l’entreprise estimait avec une grande confiance que l’intrusion était restée limitée à cinq dépôts concernés.

Un transcript ultérieur de GrafanaCON précise le rôle du canari. Les intervenants expliquent que TruffleHog, outil de recherche de secrets, peut vérifier des identifiants auprès de services en fonctionnement. Ils placent un événement d’attaque à 04 h 30, l’activation du canari lors d’une vérification TruffleHog à 06 h 15, la réponse à 08 h, puis l’enquête dans les journaux de Loki à 11 h. Aucun fuseau horaire n’est indiqué. Ces repères sont ceux de la présentation, pas une horloge d’incident normalisée : le premier ne date pas à lui seul l’accès initial, et le canari enregistre le test ultérieur d’un secret volé.

Sur l’horloge de la présentation, 1 h 45 sépare l’activation à 06 h 15 du repère de réponse à 08 h. Le transcript ne précise ni si 08 h correspond à la première action opérationnelle ou à une escalade formelle, ni quand le confinement a été atteint. Cette séquence ne réfute pas l’affirmation du guide selon laquelle l’incident a été contenu en quelques minutes ; elle ne l’établit pas non plus à elle seule. Elle montre pourquoi il faut horodater séparément l’alerte, la réponse et le confinement.

Le mot « immédiat » gagne ainsi en précision. Un jeton peut alerter dès que son leurre est utilisé. À lui seul, il ne révèle pas quand le workflow a été compromis, qui a obtenu l’identifiant, jusqu’où l’accès a porté ni si la menace est neutralisée. Selon le transcript, l’alerte a révélé la validation de l’identifiant ; les journaux et les autres travaux de réponse ont servi à délimiter l’incident.

Les mesures de suivi décrites par les intervenants ne se résumaient pas à ajouter des leurres. Ils ont transféré les secrets dans un coffre, rendu obligatoires les analyses Zizmor et TruffleHog, étendu la couverture des canaris, réduit les permissions trop larges des applications GitHub et renforcé la formation. Ces choix ciblent l’exposition, l’étendue des droits et la répétition de la faille. Le canari fournit un signal au sein de ce dispositif ; il ne le remplace pas.

Le guide de LACNIC avertit lui-même que certains outils peuvent reconnaître les services publics de jetons et que l’alerte ne sert à rien si personne ne surveille son canal. Les intervenants de Grafana donnent un exemple précis : TruffleHog reconnaît les jetons gratuits de Thinkst qu’il connaît et ne tente pas de les valider. Cela ne vaut ni pour tous les outils ni pour tous les jetons, mais signifie qu’un canari silencieux ne prouve pas que personne n’a recherché le secret. LACNIC qualifie également les faux positifs de rares, sans publier de taux mesuré ni de dénominateur.

Le signal opérationnel dépend encore du type de jeton, de son mode de diffusion et des logiciels susceptibles de le toucher.

La leçon durable n’est donc pas qu’un canari repère une intrusion dès son premier pas. Un secret leurre bien placé peut signaler rapidement une interaction ultérieure, à condition que l’alerte soit transmise, que les traces soient exploitables et que l’équipe puisse invalider l’identifiant et en limiter les droits.

Sources