Kus saladused peituvad
Küsi arendusmeeskonnalt, kus nende paroolid ja võtmed asuvad, ja aus vastus on: igal pool. Andmebaasi parool juurutusskriptis. API-võti konfiguratsioonifailis, mis lisati repositooriumi aastaid tagasi. Pilveteenuse mandaat, mis kleebiti vestlusesse, et kolleegi tööd edasi aidata. Teenusekontode jagatud tabel, mida saavad muuta kolm inimest ja mille eest ei vastuta keegi.
Igaüks neist sai alguse mõistliku otseteena. Koos tähendavad need, et keegi ei suuda kindlalt öelda, kellel millele juurdepääs on, ja et ühe mandaadi vahetamine nõuab otsimist süsteemidest, mida keegi täielikult ei tunne. Kui keegi lahkub, jääb tema juurdepääs sageli alles tema tehtud koopiatesse.
Mida seif muudab
Saladuste seif on spetsiaalne teenus mandaatide hoidmiseks, väljastamiseks ja auditeerimiseks. Rakendused ja inimesed küsivad saladust siis, kui seda vajavad, tõendavad oma identiteeti ja saavad ainult seda, millele neil on õigus. Saladust ei kirjutata kunagi koodi ega konfiguratsiooni; kood hoiab viidet ja seif hoiab väärtust.
Sellel ühel muudatusel on mitu tagajärge. Juurdepääs muutub poliitikaks, mitte harjumuseks. Iga lugemine logitakse, nii et saad vastata, kes millist mandaati ja millal kasutas. Vahetamine muutub muudatuseks ühes kohas, mitte jahiks. Ja repositooriume saab jagada, üle vaadata ja üle anda ilma midagi tundlikku paljastamata.
Avatud lähtekoodiga võimalused
Seda rolli täidavad mitu küpset avatud lähtekoodiga projekti. Näiteks Infisical pakub arendajasõbralikku seifi, millel on saladuste versioonimine, keskkondade eraldamine ja integratsioonid levinud juurutustööriistadega. Millise seifi ka ei valiks, see peaks olema integreeritud sinu identiteedipakkujaga, näiteks Keycloakiga, et juurdepääs järgiks sama ühekordse sisselogimise ja rollimudelit nagu kõik muu ning lahkujad kaotaksid juurdepääsu kõikjal korraga.
Nagu iga põhiteenuse puhul, vali tarkvara, mida saad ise käitada, varundada ja taastada ning vajadusel asendada. Seif, millest ei saa andmeid eksportida, on lihtsalt uus koht, kuhu lukustuda.
Praktiline üleminek
Saladuste seifi viimine on projekt, mitte lüliti. Mõistlik tööde järjekord näeb välja selline:
Arvesta, et see toob esile üllatusi: mandaate, mida keegi ei suuda tuvastada, teenusekontosid, millel on palju rohkem õigusi kui vaja, ja võtmeid, mida jagatakse keskkondade vahel. Iga üllatus on risk, mille sa just kõrvaldasid, nii et käsitle leide edusammu, mitte piinlikkusena.
- Skanni repositooriume ja nende ajalugu sinna lisatud saladuste suhtes ning käsitle iga leidu kompromiteerituna.
- Seadista seif koos identiteediintegratsiooni, varunduse ja auditilogiga enne, kui midagi üle viid.
- Vii esmalt üle kõrgeima riskiga mandaadid: tootmisandmebaasid, pilvekontod ja administraatorivõtmed.
- Asenda iga saladus koodis viitega ja vaheta seejärel algne väärtus välja.
- Lisa ehitusse kontroll, mis nurjub, kui koodi ilmub uus saladus.
- Määra vahetamise ajakavad ja vaata juurdepääsupoliitikad regulaarselt üle.
Saladused ja üleandmine
Seifid on eriti olulised siis, kui platvorm vahetab omanikku. Kui anname platvormi üle meeskonnale, kes hakkab seda käitama, liigub iga mandaat, sertifikaat ja võti kliendi enda seifi kliendi enda identiteedipakkuja alla ning iga ehituse ajal kasutatud ajutine juurdepääs tühistatakse. Klient peab saama kinnitada, et kellelgi väljaspool tema organisatsiooni ei ole enam töötavat mandaati. See on osa sellest, mida platvormi omamine tähendab.
Sama distsipliin kehtib organisatsiooni sees, kui meeskonnad muutuvad või tarnijad vahetuvad. Seifiga on küsimusel, kellel on veel juurdepääs, vastus, mida saad kontrollida, mitte oletus, mille õigsust loodad.
Saladuste haldus ilmub strateegiaesitlustesse harva, kuid see on aluseks peaaegu kõigile teistele turvameetmetele. Saladuste skriptidest väljaviimine on üks väärtuslikumaid ja kõige vähem glamuurseid parandusi, mida iga IT-keskkond saab teha.