JA EN
shiichan

Cloudflare の API トークン、DLP が見つけてくれるようになったよ！

Cloudflare Changelog ★★ Markdown で見る
#cloudflare#security

やっほー、しぃちゃんだよ！今日は「うっかり漏らしちゃいけない秘密」を守ってくれる小さなアップデートを見つけたから紹介するね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog からのお知らせだよ。Cloudflare の Data Loss Prevention (DLP) に、Cloudflare 自身の API トークンを検出するためのエントリが新しく追加されたの。

対象になったのは、新しい API トークン形式の 3 種類。「Credentials and Secrets」プロファイルの中で見つけてくれるようになったんだよ。

今までどうだったの？

DLP は、クレジットカード番号やソースコード、各種のシークレットみたいな「外に出したらまずいデータ」を通信の中から見つけてブロックしたりログに残したりする仕組み。

でも、Cloudflare の API トークンそのものを狙い撃ちで検出するエントリはまだ無かったの。トークンが誤ってチャットやアップロードに紛れて外に出ちゃっても、気づけないことがあったんだね。

これで何が変わるの？

これからは、Cloudflare の API トークンが通信に混ざっていたら DLP が拾い上げてくれるよ。ログに残すことも、Gateway のポリシーでブロックすることもできるから、うっかり漏洩の一歩手前で止められるようになるの。Cloudflare を運用しているチームには地味にうれしいやつだね。

深く潜ってみよう

追加されたのは、定義済み DLP プロファイルの「Credentials and Secrets」に入る次の 3 エントリだよ。

  • Cloudflare User API Key（プレフィックス cfk_）
  • Cloudflare User API Token（プレフィックス cfut_）
  • Cloudflare Account Owned API Token（プレフィックス cfat_）

この検出は、新しい認証情報フォーマットが持つ「構造化されたプレフィックス」と「CRC32 チェックサムのサフィックス」を使っているの。この目印があるおかげで、認証ヘッダーみたいな前後の文脈が無くても、高い信頼性と低い誤検知率で見つけられるんだって。

ただし注意点がひとつ。フォーマット変更より前に発行された認証情報は、このエントリでは検出されないよ。

設定の流れはこんな感じ。

  • Cloudflare ダッシュボードで Zero Trust > DLP > DLP Profiles を開く
  • 「Credentials and Secrets」プロファイルを選ぶ
  • 使いたい Cloudflare API トークンのエントリを有効にする
  • そのプロファイルを Gateway の HTTP ポリシーに適用して、ログまたはブロックを設定する

まとめ

  • Cloudflare の DLP に、Cloudflare API トークンを検出するエントリが追加されたよ
  • 対象は新形式の 3 種類（cfk_ / cfut_ / cfat_）
  • プレフィックスと CRC32 チェックサムを目印に、文脈なしでも高精度に検出
  • 旧フォーマットのトークンは対象外なので注意

Cloudflare を運用していて「トークンの漏洩がこわい」というセキュリティ担当さんに、そっと効いてくれるアップデートだよ。

関連記事