Geheimnisse live in VS Code erkennen – mit dieser VS Code-Erweiterung

Das versehentliche Veröffentlichen von geheimen Zugangsdaten wie API-Schlüsseln oder Passwörtern gehört zu den häufigsten Sicherheitsrisiken in der Softwareentwicklung. Oft passiert es schnell: Eine:r Entwickler:in kopiert einen Schlüssel nur zum Testen in eine Datei – und vergisst ihn später. Doch selbst wenn der Code nicht in öffentliche Repositories gelangt, können solche Fehler in Screenshots, Livestreams oder versehentlich geteilten Dateien landen. Traditionelle Secret-Scanner wie Gitleaks oder TruffleHog greifen meist erst in der CI/CD-Pipeline ein – also nachdem der Fehler bereits im Repository festgeschrieben wurde.

Um dieses Problem direkt an der Quelle zu bekämpfen, hat der Entwickler Secret Guardian veröffentlicht: eine VS Code-Erweiterung, die geheime Zugangsdaten live im Editor erkennt und unmittelbar maskiert. So bleiben sensible Informationen selbst in Screenshots oder Bildschirmaufnahmen unsichtbar.

Echtzeit-Erkennung und automatische Maskierung

Die Erweiterung funktioniert direkt im Code-Editor und scannt während der Eingabe. Sobald ein bekanntes Muster einer geheimen Zugangsdaten erkannt wird, wird diese automatisch mit einem Sperrsymbol überlagert. Diese Maskierung verhindert, dass die Daten in Screenshots oder bei Bildschirmfreigaben sichtbar sind.

Zu den unterstützten Geheimnissen gehören unter anderem:

• API-Schlüssel von AWS, GitHub, GitLab, Google, Slack, Stripe, OpenAI, SendGrid und Twilio
• npm-Tokens
• Private Schlüssel
• JWT-Tokens
• Anmeldedaten in URLs

Zusätzlich zu den vordefinierten Mustern nutzt die Erweiterung eine generische Erkennung hochentropischer Zeichenfolgen, um auch unbekannte geheime Zugangsdaten zu identifizieren. Platzhalter wie your_api_key werden dabei automatisch ausgeschlossen.

Integration in den Workflow – lokal und ohne Datenweitergabe

Secret Guardian ist vollständig lokal und sendet keine Daten an externe Server. Alle Scans werden direkt auf dem eigenen Rechner durchgeführt. Die Erweiterung bietet zudem folgende Funktionen:

• Probleme-Panel: Erkannte geheime Zugangsdaten werden direkt im Problemlösungsfenster von VS Code angezeigt.
• Schnellscan: Ein Klick startet eine vollständige Überprüfung des aktuellen Arbeitsbereichs.
• Keine Cloud-Abhängigkeit: Die gesamte Logik läuft lokal, was die Privatsphäre und Sicherheit weiter erhöht.

Die Erkennung basiert auf zwei Ebenen:

• Reguläre Ausdrücke für bekannte Formate wie AKIA… (AWS) oder ghp_… (GitHub).
• Entropie- und Kontextprüfung für unbekannte geheime Zugangsdaten. Dabei wird die Shannon-Entropie gemessen und mit Schlüsselwörtern wie api, key oder token abgeglichen.

Praktische Anwendung und Feedback gesucht

Die Erweiterung ist kostenlos im VS Code Marketplace verfügbar und lässt sich mit wenigen Klicks installieren. Entwickler:innen können sie direkt ausprobieren, indem sie eine simulierte geheime Zugangsdaten in eine Datei einfügen. Der Entwickler freut sich über Feedback zur Erkennungsgenauigkeit und zu False Positives, um die Erweiterung kontinuierlich zu verbessern.

Langfristig könnte ein solches Tool dazu beitragen, Sicherheitslücken bereits in der Entwicklungsphase zu erkennen – bevor sie überhaupt in die Codebasis gelangen. Damit bietet Secret Guardian einen wichtigen Schritt hin zu sichererem Coding, ohne zusätzliche Abhängigkeiten oder komplexe CI/CD-Konfigurationen.