Se cerchi "alternative gratuite per sanificare configurazioni", trovi due tipi di strumenti molto diversi: utility di scripting generali che si possono adattare (bash, VSCode, CyberChef), e un'ondata crescente di estensioni browser costruite specificamente per redigere il testo prima di incollarlo in una chat IA. Quasi nessuna del secondo gruppo sa che aspetto ha una password di vicino BGP o una community string SNMP. Ecco un confronto onesto tra i due mondi.
La via dello scripting: bash, VSCode, CyberChef
Cosa offrono davvero
- Comandi bash (
sed/grep) — veloci se conosci già il pattern esatto da rimuovere, ma scrivi nuove regex per ogni vendor e ogni formato di credenziale, e un pattern dimenticato significa una password reale nel paste. - Regex manuale in VSCode — stessa idea con GUI e cronologia trova/sostituisci, utile per un caso isolato, tedioso per un flusso ricorrente, comunque senza alcuna conoscenza dei vendor.
- CyberChef — gira interamente lato client nel browser, il modello di privacy corretto, e le sue ricette "Find / Replace" ed "Extract" possono essere concatenate in qualcosa di funzionale. Ma la ricetta la costruisci tu, da zero, per ogni vendor.
Sono opzioni legittime se tocchi solo la sintassi di un vendor e ti senti a tuo agio a mantenere la tua libreria di regex. Smettono di scalare nel momento in cui incolli config di tre marchi di firewall diversi nella stessa settimana.
La via dell'estensione browser: strumenti generici di privacy IA
Esiste una categoria separata per un problema diverso: rimuovere dati personali (email, nomi, numeri di carta) prima di incollare in ChatGPT o Claude. Diverse opzioni gratuite e open source fanno bene questo lavoro per quel caso d'uso — utile da conoscere anche se risolvono un problema diverso da quello di una config di rete:
Cosa coprono i redattori generici di PII/segreti, e cosa no
- Coprono bene: email, formati generici di chiavi API (
sk-...,ghp_...), numeri di carta, telefoni — il tipo di PII che appare in qualsiasi testo, non solo nelle config di rete. - Non coprono: sintassi specifica del vendor. Nessuno riconosce una riga
enable secretCisco, unset psksecretFortiGate, o un export MikroTik RouterOS abbastanza bene da catturare tutti i formati di credenziale al suo interno — perché non sono stati costruiti per quello. - Non coprono: la differenza tra un hash forte e uno reversibile. Una password Cisco tipo 7 è banalmente reversibile; un hash bcrypt no. I redattori generici mascherano entrambi allo stesso modo, se rilevano il pattern — non hanno alcun concetto di robustezza della credenziale.
Se il tuo unico obiettivo è "non incollare la mia email in ChatGPT", un redattore generico è una scelta decente, spesso gratuita. Se il tuo obiettivo è "non incollare la password del mio vicino BGP o la mia community string SNMP in ChatGPT", non è costruito per quello, e testarne diversi contro export reali di router/firewall mostra sempre lo stesso divario: il testo viene elaborato, ma i segreti specifici della config passano intatti.
Dove uno strumento specifico per la rete cambia il risultato
Esiste anche una categoria più piccola e più datata costruita specificamente per le config di rete — strumenti a riga di comando come Netconan, pensati per ISP e MSP che devono consegnare una config sanificata a un cliente o un vendor. Sono solidi per quel caso d'uso originale: elaborare file in batch prima che escano da una coda di supporto. Per cosa non sono stati costruiti è il momento in cui vuoi davvero incollare una config in un assistente IA e fargli una domanda — nessun flusso nel browser, nessuna chat BYOK, nessun copia con un clic.
Una riga enable secret 5 $1$... Cisco, un blocco set psksecret ENC ... FortiGate, un export MikroTik RouterOS con una passphrase WPA incorporata, una message-digest-key OSPF, una chiave server TACACS+ — tutto questo segue una sintassi specifica del vendor che uno scanner PII generico non ha motivo di conoscere, e che un anonimizzatore CLI generico non ha motivo di esporre in un flusso incolla-e-chiedi.
Tabella comparativa
| Strumento | Analisi consapevole del vendor | Dove gira | Chat IA integrata | Costo |
|---|---|---|---|---|
| bash / sed / grep | No (la scrivi tu) | Terminale | No | Gratis |
| Regex manuale VSCode | No (la scrivi tu) | Editor | No | Gratis |
| CyberChef | No (costruisci la ricetta) | Browser, lato client | No | Gratis |
| Anonimizzatori CLI tipo Netconan | Parziale (multi-vendor, nessuna analisi delle chiavi di autenticazione a livello di protocollo) | Terminale / pipeline CI | No | Gratis, open source |
| Estensioni generiche di privacy IA | No | Browser | Variabile, di solito una piattaforma | Perlopiù gratis |
| ScrubForge | Sì, 12 profili vendor + segreti a livello di protocollo (BGP, OSPF, HSRP, TACACS+, RADIUS, SNMP) | Estensione browser | Sì, BYOK con 5 provider | Livello gratis, Pro a pagamento |
Quale usare davvero
- Caso isolato, un solo vendor, pattern esatto noto: un comando bash o una ricetta CyberChef è davvero più veloce da scrivere una volta che da installare qualsiasi cosa.
- Ricorrente, più vendor, serve consegnare un file a qualcun altro: un anonimizzatore CLI ha la forma giusta per una pipeline, anche senza il passaggio di chat IA.
- Ricorrente, vuoi incollare in ChatGPT/Claude/Gemini e chiedere senza ricontrollare ogni riga a mano: nessuno dei precedenti è stato costruito per questo flusso specifico — è il vuoto che riempie ScrubForge, con rilevamento consapevole del vendor più una chat BYOK integrata che vede solo la versione tokenizzata della tua config.
Domande frequenti
CyberChef è sicuro per sanificare config di rete?
Sì, dal punto di vista della privacy — gira interamente nel browser senza chiamate al server. Il limite non è la privacy, è la copertura: CyberChef non saprà quali parti di una config di router o firewall sono sensibili a meno che tu non costruisca quella logica da solo, vendor per vendor.
Le estensioni generiche di privacy per ChatGPT catturano le password di router e firewall?
Non in modo affidabile. Sono costruite per catturare PII generiche e formati comuni di chiavi API, non sintassi specifica del vendor come un enable secret Cisco, un PSK FortiGate, o una community string SNMP. Testale contro un export reale di config e controlla l'output riga per riga prima di fidarti con credenziali di produzione.
Qual è la reale differenza tra un anonimizzatore CLI e ScrubForge?
Strumenti CLI come Netconan sono costruiti per l'elaborazione batch di file di config prima di consegnarli a terzi, da MSP a cliente o da ISP a vendor. ScrubForge è costruito per il flusso incolla-e-chiedi-all'IA: un'estensione browser con menu contestuale, rilevamento vendor, e una chat BYOK opzionale che vede solo token, mai le tue credenziali reali.
Esiste un modo completamente gratuito per sanificare una config prima di incollarla in uno strumento IA?
Sì. Il livello gratuito di ScrubForge copre il motore di rilevamento principale, i 12 profili vendor e i token consapevoli del formato, senza bisogno di account. Il livello a pagamento aggiunge la chat IA integrata, la scansione approfondita dell'entropia e l'elaborazione batch.