Zajistěte ochranu klíčových prvků vašeho podnikání.
Při práci s kontejnery, platformou Kubernetes, cloudovými službami a citlivými daty je třeba věnovat pozornost mnoha aspektům. Klíčové je implementovat osvědčené postupy v oblasti správy identit a přístupu, a také pečlivě vybírat a používat vhodné nástroje.
Ať už jste vývojář nebo administrátor systému, je nezbytné mít jistotu, že disponujete správnými nástroji pro zajištění bezpečnosti vašeho prostředí. Pro správné fungování aplikací je nutný přístup ke konfiguračním datům. Ačkoliv většina z těchto dat není citlivá, existují i taková, která vyžadují důvěrné zacházení. Tyto citlivé řetězce dat označujeme jako tajemství (sekrety).
Doufám, že už neskladujete tajemství přímo v repozitáři na GitHubu.
Pokud vyvíjíte robustní aplikaci, s vysokou pravděpodobností budou její funkce vyžadovat přístup k různým tajemstvím nebo dalším druhům citlivých informací, které musíte bezpečně spravovat.
Mezi takové sekrety obvykle patří:
- API klíče
- Přihlašovací údaje k databázím
- Šifrovací klíče
- Citlivá konfigurační nastavení (e-mailové adresy, uživatelská jména, ladící parametry atd.)
- Hesla
Zabezpečená správa těchto tajemství se ovšem může později ukázat jako náročný úkol. Níže naleznete několik užitečných tipů pro vývojáře i administrátory systémů:
Aktualizace závislostí funkcí
Nezapomeňte pravidelně monitorovat knihovny, které používáte ve svých funkcích, a aktivně sledovat zranitelnosti. Udržujte je aktualizované.
Využití API bran jako bezpečnostní vrstvy
Nenechte funkce přímo interagovat s uživateli. Raději využijte API brány poskytované vašimi cloudovými providery a implementujte další vrstvu zabezpečení pro vaše funkce.
Zabezpečení a ověření dat při přenosu
Používejte protokol HTTPS pro zabezpečený komunikační kanál a ověřujte SSL certifikáty pro ochranu identity vzdálených systémů.
Dodržování zásad bezpečného kódování pro aplikační kód
Vzhledem k absenci serverů, které by se daly prolomit, se útočníci zaměří na aplikační vrstvu. Proto věnujte ochraně vašeho kódu zvýšenou pozornost.
Správa tajemství v zabezpečeném úložišti
Citlivé informace mohou snadno uniknout. Zastaralé přihlašovací údaje jsou navíc zranitelné vůči útokům typu rainbow table, pokud zapomenete na správnou správu tajemství. Rozhodně neskladujte tajemství přímo v aplikačním systému, proměnných prostředí nebo systému správy zdrojového kódu.
Správa klíčů v prostředí spolupráce může být problematická, mimo jiné kvůli nedostatku znalostí a zdrojů. Mnoho firem tak ukládá šifrovací klíče a další citlivé informace přímo do zdrojového kódu aplikace, což vytváří riziko odhalení těchto tajemství.
Z důvodu nedostatku hotových řešení se mnoho společností pokoušelo vyvinout vlastní nástroje pro správu tajemství. Níže naleznete přehled některých z nich, které by vám mohly být užitečné:
Vault
HashiCorp Vault je nástroj pro bezpečné ukládání a přístup k tajemstvím.
Nabízí jednotné rozhraní pro práci s tajemstvími, přičemž zajišťuje přísnou kontrolu přístupu a poskytuje komplexní auditní záznam. Jedná se o nástroj, který zabezpečuje uživatelské aplikace a infrastrukturu a tím snižuje potenciální prostor pro útoky a dobu trvání útoku.
Vault nabízí API, které umožňuje přístup k tajemstvím na základě definovaných pravidel. Každý uživatel API se musí autentizovat a má přístup pouze k těm tajemstvím, která má oprávnění vidět.
Vault šifruje data pomocí 256bitového AES s GCM.
Umožňuje ukládání dat do různých backendů, například Amazon DynamoDB, Consul a mnoha dalších. Vault podporuje logování do lokálního souboru pro auditní účely, na server Syslog nebo přímo do soketu. Vault zaznamenává informace o klientovi, který provedl akci, jeho IP adresu, typ akce a čas jejího provedení.
Spuštění nebo restart Vaultu vždy vyžaduje jednoho nebo více operátorů, kteří provedou „unseal“ procesu. Pracuje především s tokeny. Každý token je asociován se zásadou, která může omezovat dostupné akce a cesty. Mezi klíčové vlastnosti Vaultu patří:
- Šifruje a dešifruje data, aniž by je trvale ukládal.
- Vault umí generovat tajné klíče na vyžádání pro specifické operace, jako jsou databáze AWS nebo SQL.
- Umožňuje replikaci napříč více datovými centry.
- Vault má vestavěnou ochranu pro odvolání tajemství.
- Slouží jako bezpečné úložiště tajemství s podrobnými možnostmi řízení přístupu.
AWS Secrets Manager
Předpokládám, že jste na tomto seznamu očekávali i AWS. Nebo ne?
AWS má řešení téměř na každý problém.
AWS Secrets Manager umožňuje rychlou rotaci, správu a načítání přihlašovacích údajů k databázím, API klíčů a dalších hesel. Pomocí Secrets Manageru můžete bezpečně spravovat tajemství potřebná pro přístup k funkcím AWS cloudu, službám třetích stran i lokálním systémům.
Secrets Manager vám dává možnost řídit přístup k tajemstvím pomocí jemně granulovaných oprávnění. Klíčové vlastnosti AWS Secrets Manageru jsou:
- Šifruje tajemství pomocí šifrovacích klíčů.
- Dešifruje tajemství a bezpečně je přenáší přes protokol TLS.
- Poskytuje vzorové kódy pro usnadnění volání API Secrets Manageru.
- Má knihovny mezipaměti na straně klienta pro zlepšení dostupnosti a snížení latence při používání tajemství.
- Umožňuje konfiguraci endpointů Amazon VPC (Virtual Private Cloud), aby byl provoz udržen v rámci sítě AWS.
Akeyless Vault
Akeyless Vault je komplexní SaaS platforma pro správu tajemství, která chrání všechny druhy přihlašovacích údajů, jak statických, tak dynamických, včetně správy certifikátů a šifrovacích klíčů. Mimo to nabízí unikátní řešení pro bezpečný vzdálený přístup (zero-trust) ke všem zdrojům napříč staršími, multicloudovými a hybridními prostředími.
Akeyless chrání tajemství a klíče pomocí vestavěné technologie s certifikací FIPS 140-2, která zajišťuje, že nezná tajemství ani klíče svých zákazníků.
Mezi hlavní charakteristiky patří:
- Globálně dostupná SaaS platforma, která nabízí vestavěnou vysokou dostupnost (HA) a zotavení po havárii (DR) s využitím cloudové architektury na vrchu služby pro více regionů a cloudů.
- Pokročilá správa tajemství poskytuje bezpečné úložiště pro statická i dynamická tajemství, jako jsou hesla, přihlašovací údaje, API klíče, tokeny atd.
- Akeyless Vault umožňuje vytváření a vkládání tajemství do serverů, aplikací a pracovních zátěží, nabízí širokou škálu pluginů, které umožňují připojení k DevOps a IT platformám, jako je CI/CD, správa konfigurace a nástroje pro orchestraci, jako je Kubernetes a Docker.
Díky tomu je implementace velmi rychlá, protože:
- SaaS – není potřeba žádné nasazení, instalace ani údržba.
- Okamžité přihlášení s automatickou migrací tajemství ze stávajících úložišť.
Platforma nabízí i další dva pilíře:
- Přístup k aplikacím s nulovou důvěrou (Remote Access) poskytováním jednotného ověřování a přístupových pověření just-in-time, což umožňuje zabezpečit aplikace a infrastrukturu bez perimetru.
- Šifrování jako služba (Encryption as a Service) umožňuje zákazníkům chránit citlivá osobní a obchodní data pomocí pokročilého šifrování na úrovni aplikací s certifikací FIPS 140-2.
Keywhiz
Square Keywhiz pomáhá spravovat tajemství infrastruktury, klíčenky GPG a přihlašovací údaje k databázím, včetně certifikátů a klíčů TLS, symetrických klíčů, API tokenů a klíčů SSH pro externí služby. Keywhiz je nástroj pro manipulaci a sdílení tajemství.
Automatizace v Keywhiz umožňuje bezproblémovou distribuci a nastavení klíčových tajemství našich služeb, což vyžaduje konzistentní a bezpečné prostředí. Klíčové vlastnosti Keywhiz:
- Keywhiz Server poskytuje JSON API pro sběr a správu tajemství.
- Ukládá všechna tajemství pouze do paměti a nikdy ne na disk.
- Uživatelské rozhraní je vytvořeno pomocí AngularJS, takže uživatelé mohou ověřovat a používat UI.
Confidant
Confidant je open-source nástroj pro správu tajemství, který nabízí uživatelsky přívětivé úložiště a bezpečný přístup k tajemstvím. Confidant ukládá tajemství do DynamoDB s jedinečným datovým klíčem KMS pro každou úpravu, s použitím symetrické autentizované kryptografie Fernet.
Poskytuje webové rozhraní AngularJS, které umožňuje koncovým uživatelům efektivně spravovat tajemství, formy tajemství služeb a záznam změn. Mezi některé z funkcí patří:
- KMS autentizace
- Šifrování verzovaných tajemství při uložení.
- Uživatelsky přívětivé webové rozhraní pro správu tajemství.
- Generování tokenů, které se dají použít pro ověřování mezi službami nebo pro předávání šifrovaných zpráv mezi službami.
SOPS
Rád bych vám představil SOPS, neuvěřitelný nástroj, který jsem nedávno objevil. Je to editor pro šifrování souborů, který podporuje formáty jako YAML, JSON, ENV, INI a BINARY. A co je nejlepší? Dokáže šifrovat soubory pomocí AWS KMS, GCP KMS, Azure Key Vault, age a PGP.
Tady to začíná být zajímavé. Představte si, že pracujete na počítači, který nemá přímý přístup k šifrovacím klíčům, například ke klíčům PGP. Bez obav! SOPS to zvládne díky své funkci klíčové služby. Přístup SOPS k šifrovacím klíčům uloženým na vzdáleném počítači můžete udělit předáním soketu. Je to jako mít svého přenosného agenta GPG!
SOPS funguje na principu klient-server pro šifrování a dešifrování datových klíčů. Ve výchozím stavu spouští v rámci procesu službu místního klíče. Klient odesílá požadavky na šifrování nebo dešifrování službě klíčů pomocí gRPC a Protocol Buffers. Nebojte se, tyto požadavky neobsahují žádné kryptografické klíče, a to ani veřejné, ani soukromé.
Je ale nutné zdůraznit, že připojení klíčové služby v současnosti postrádá autentizaci a šifrování. Pro zvýšení bezpečnosti je doporučeno autentizaci a šifrování připojení zajistit jinými prostředky, například pomocí SSH tunelu.
Ale počkejte, je toho víc! SOPS umí generovat protokoly auditu pro sledování přístupu k souborům ve vašem kontrolovaném prostředí. Pokud je tato funkce povolena, zaznamenává aktivitu dešifrování do databáze PostgreSQL, včetně časového razítka, uživatelského jména a dešifrovaného souboru. Skvělé, že?
SOPS navíc nabízí dva užitečné příkazy pro předávání dešifrovaných tajemství novému procesu: exec-env a exec-file. První vloží výstup do prostředí podřízeného procesu, zatímco druhý jej uloží do dočasného souboru.
Pamatujte, že přípona souboru určuje metodu šifrování, kterou SOPS používá. Pokud šifrujete soubor v daném formátu, ujistěte se, že zachováte původní příponu souboru pro dešifrování. To je nejjednodušší způsob, jak zajistit kompatibilitu.
SOPS se inspiroval nástroji, jako jsou hiera-eyaml, credstash, tenisky a úložiště hesel. Jedná se o skvělé řešení, které eliminuje potíže s manuální správou souborů zašifrovaných pomocí PGP.
Azure Key Vault
Hostujete aplikace v Azure? Pak by toto mohla být dobrá volba.
Azure Key Vault umožňuje uživatelům spravovat všechny tajemství (klíče, certifikáty, připojovací řetězce, hesla atd.) pro cloudové aplikace na jednom místě. Je integrován s původem a cílem tajemství v Azure. Aplikace mimo Azure jej mohou také využít.
Výkon můžete zvýšit také snížením latence cloudových aplikací tím, že uložíte kryptografické klíče v cloudu, a ne lokálně.
Azure vám může pomoci se splněním požadavků na ochranu dat a dodržování předpisů.
Docker Secrets
Tajné klíče Dockeru umožňují snadno přidat tajemství do clusteru a sdílet je pouze prostřednictvím vzájemně ověřených TLS připojení. Data se následně dostanou do řídícího uzlu v tajných klíčích Dockeru a automaticky se uloží do interního úložiště Raft, což zajišťuje jejich šifrování.
Tajné klíče Dockeru se snadno používají ke správě dat a jejich předávání do kontejnerů s přístupem k nim. Tím je zabráněno úniku tajemství, když je aplikace používá.
Knox
Knox vyvinula platforma sociálních médií Pinterest, aby vyřešila svůj problém s ruční správou klíčů a udržováním auditní stopy. Knox je napsaný v jazyce Go a klienti komunikují se serverem Knox pomocí REST API.
Knox používá pro ukládání klíčů volatilní databázi. Šifruje data uložená v databázi pomocí AES-GCM s hlavním šifrovacím klíčem. Knox je k dispozici také jako Docker image.
Doppler
Doppler používají tisíce organizací, od začínajících startupů až po velké korporace, pro uchovávání tajemství a konfigurace aplikací v synchronizaci napříč prostředími, týmy a zařízeními.
Už není potřeba sdílet tajemství přes e-mail, zip soubory, git nebo Slack. Umožněte svým týmům spolupracovat tak, aby měli tajemství k dispozici ihned po jejich přidání. Doppler automatizuje proces, šetří váš čas a přináší vám klid.
Můžete vytvářet odkazy na často používaná tajemství, takže aktualizace v určitých intervalech provedou veškerou vaši práci. Použijte tajemství v serverless, Dockeru nebo kdekoli jinde, Doppler je s vámi. Když se váš stack vyvíjí, zůstává vše tak, jak má, a vy můžete začít pracovat během pár minut.
Doppler CLI ví vše o získávání vašich tajemství na základě adresáře projektu. A nebojte se, pokud se něco změní, nefungující úpravy můžete snadno vrátit zpět jedním kliknutím nebo pomocí CLI a API.
S Dopplerem můžete pracovat chytřeji, než tvrději a získat software pro správu tajemství ZDARMA. Pokud hledáte více funkcí a výhod, použijte startovací balíček za 6 $ / měsíc / místo.
Závěr
Doufám, že vám výše uvedený seznam pomohl získat představu o některých z nejlepších softwarů pro správu přihlašovacích údajů aplikací.
Dále prozkoumejte inventář digitálních aktiv a řešení monitorování.