أين تختبئ الأسرار
اسأل فريقًا هندسيًا عن مكان كلمات المرور والمفاتيح لديه، وستكون الإجابة الصادقة: في كل مكان. كلمة مرور قاعدة بيانات في نص نشر برمجي. مفتاح API في ملف إعدادات أُودع في مستودع قبل سنوات. بيانات اعتماد سحابية لُصقت في محادثة لمساعدة زميل. جدول بيانات مشترك لحسابات الخدمة يستطيع ثلاثة أشخاص تعديله ولا يملكه أحد.
بدأ كل من هذه الأمور اختصارًا معقولًا. لكنها مجتمعةً تعني أن أحدًا لا يستطيع أن يقول بثقة من لديه صلاحية الوصول إلى ماذا، وأن تدوير بيانات اعتماد واحدة يتطلب بحثًا عبر أنظمة لا يعرفها أحد معرفة كاملة. وحين يغادر شخص ما، كثيرًا ما تبقى صلاحياته في النسخ التي صنعها.
ما الذي تغيّره الخزنة
خزنة الأسرار خدمة مخصصة لتخزين بيانات الاعتماد وإصدارها وتدقيقها. فالتطبيقات والأشخاص يطلبون السر حين يحتاجون إليه، ويثبتون هويتهم، ولا يتلقون إلا ما يحق لهم. ولا يُكتب السر أبدًا في الشيفرة أو الإعدادات، بل تحمل الشيفرة مرجعًا إليه، وتحتفظ الخزنة بقيمته.
لهذا التغيير الواحد عدة نتائج. فالوصول يصبح سياسة لا عادة. وكل قراءة تُسجَّل، فتستطيع الإجابة عمّن استخدم أي بيانات اعتماد ومتى. والتدوير يصبح تغييرًا في مكان واحد لا رحلة بحث. ويمكن مشاركة المستودعات ومراجعتها وتسليمها دون كشف أي شيء حساس.
خيارات مفتوحة المصدر
تؤدي عدة مشاريع ناضجة مفتوحة المصدر هذا الدور. فعلى سبيل المثال، يقدّم Infisical خزنة سهلة الاستخدام للمطورين، مع إدارة إصدارات الأسرار، والفصل بين البيئات، والتكامل مع أدوات النشر الشائعة. وأيًّا كانت الخزنة التي تختارها، ينبغي أن تتكامل مع مزوّد الهوية لديك، مثل Keycloak، بحيث يتبع الوصول نموذج تسجيل الدخول الموحد والأدوار نفسه المطبَّق على كل شيء آخر، ويفقد المغادرون صلاحياتهم في كل مكان دفعة واحدة.
وكما هو الحال مع أي خدمة أساسية، اختر برمجيات تستطيع تشغيلها بنفسك، ونسخها احتياطيًا واستعادتها، واستبدالها إن اضطررت. فالخزنة التي لا تستطيع التصدير منها ليست إلا مكانًا جديدًا للارتهان.
ترحيل عملي
نقل الأسرار إلى خزنة مشروع لا مجرد تبديل مفتاح. وقد يبدو الترتيب المعقول للعمل على النحو التالي:
توقّع أن يكشف ذلك عن مفاجآت: بيانات اعتماد لا يستطيع أحد تحديدها، وحسابات خدمة تملك صلاحيات تفوق حاجتها بكثير، ومفاتيح مشتركة بين البيئات. وكل مفاجأة منها خطر أزلته للتو، فتعامل مع النتائج على أنها تقدّم لا إحراج.
- افحص المستودعات وتاريخها بحثًا عن أسرار مُودَعة، واعتبر كل ما تجده مخترقًا.
- جهّز الخزنة مع تكامل الهوية والنسخ الاحتياطي وسجل التدقيق قبل ترحيل أي شيء.
- انقل بيانات الاعتماد الأعلى خطورة أولًا: قواعد بيانات الإنتاج، والحسابات السحابية، والمفاتيح الإدارية.
- استبدل كل سر في الشيفرة بمرجع، ثم دوّر القيمة الأصلية.
- أضف فحصًا إلى عملية البناء يُفشلها حين يظهر سر جديد في الشيفرة.
- حدّد جداول للتدوير وراجع سياسات الوصول بانتظام.
الأسرار والتسليم
تزداد أهمية الخزائن حين تنتقل المنصة من يد إلى أخرى. فعندما نسلّم منصة إلى الفريق الذي سيشغّلها، تنتقل كل بيانات الاعتماد والشهادات والمفاتيح إلى خزنة العميل الخاصة، تحت مزوّد الهوية الخاص به، وتُلغى كل صلاحيات الوصول المؤقتة المستخدمة أثناء البناء. وينبغي أن يتمكن العميل من التأكد من أن أحدًا خارج مؤسسته لم يعد يملك بيانات اعتماد صالحة. وهذا جزء من معنى امتلاك المنصة.
ويسري الانضباط نفسه داخل المؤسسة حين تتغير الفرق أو يتبدل المورّدون. فمع وجود خزنة، يصبح لسؤال «من لا يزال يملك صلاحية الوصول؟» إجابة يمكنك التحقق منها لا تخمين تأمل أن يكون صحيحًا.
نادرًا ما تظهر إدارة الأسرار في عروض الاستراتيجيات، لكنها تشكّل أساس كل ضابط أمني آخر تقريبًا. وإخراج الأسرار من النصوص البرمجية من أكثر التحسينات قيمةً وأقلها بريقًا التي يمكن لأي بيئة تقنية إجراؤها.