Zabezpečte to, co je pro vaše podnikání důležité.
Při práci s kontejnery, Kubernetes, cloudem a tajnými informacemi je na co myslet. Musíte použít a propojit osvědčené postupy týkající se správy identit a přístupu a vybrat a použít různé nástroje.
Ať už jste vývojář nebo systémový administrátor, musíte si ujasnit, že máte správný výběr nástrojů, které udrží vaše prostředí v bezpečí. Aby aplikace správně fungovaly, potřebují přístup ke konfiguračním datům. A zatímco většina konfiguračních dat není citlivá, některá musí zůstat důvěrná. Tyto řetězce jsou známé jako tajemství.
Neříkejte mi, že máte v GitHubu stále tajemství.
Pokud vytváříte spolehlivou aplikaci, je pravděpodobné, že vaše funkce vyžadují přístup k tajemstvím nebo jiným typům citlivých informací, které uchováváte.
Tyto sekrety mohou zahrnovat:
- API klíče
- Databázové přihlašovací údaje
- Šifrovací klíče
- Citlivá nastavení konfigurace (e-mailová adresa, uživatelská jména, příznaky ladění atd.)
- Hesla
Postarat se o tato tajemství bezpečně se však později může ukázat jako obtížný úkol. Zde je několik tipů pro vývojáře a správce systému:
Table of Contents
Závislosti záplatovacích funkcí
Vždy nezapomeňte sledovat knihovny používané ve funkcích a označovat zranitelnosti jejich neustálým sledováním.
Používejte brány API jako bezpečnostní vyrovnávací paměť
Nevystavujte funkce přesně interakci uživatele. Využijte možnosti brány API vašich poskytovatelů cloudu a zahrňte do své funkce další vrstvu zabezpečení.
Zabezpečte a ověřte data při přenosu
Ujistěte se, že používáte HTTPS pro bezpečný komunikační kanál a ověřte certifikáty SSL pro ochranu vzdálené identity.
Dodržujte pravidla bezpečného kódování pro kód aplikace.
Bez serverů, které by bylo možné hacknout, se útočníci zaměří na aplikační vrstvu, takže věnujte zvláštní péči ochraně svého kódu.
Spravujte tajemství v zabezpečeném úložišti
Citlivé informace mohou snadno uniknout a zastaralé přihlašovací údaje jsou náchylné k útokům na duhové tabulky, pokud zapomenete přijmout správná řešení správy tajemství. Nezapomeňte neukládat tajemství v aplikačním systému, proměnných prostředí nebo systému správy zdrojového kódu.
Správa klíčů ve světě spolupráce je velmi bolestivá, mimo jiné kvůli nedostatku znalostí a zdrojů. Namísto toho některé společnosti vkládají šifrovací klíče a další softwarová tajemství přímo do zdrojového kódu aplikace, která je používá, což představuje riziko odhalení tajemství.
Kvůli nedostatku příliš mnoha hotových řešení se mnoho společností snažilo vytvořit vlastní nástroje pro správu tajemství. Zde je několik, které můžete využít pro své požadavky.
Klenba
HashiCorp Vault je nástroj pro bezpečné ukládání a přístup k tajemstvím.
Poskytuje jednotné rozhraní pro utajení při zachování přísné kontroly přístupu a protokolování komplexního protokolu auditu. Jedná se o nástroj, který zabezpečuje uživatelské aplikace a základny, aby omezil povrchový prostor a dobu útoku při narušení.
Poskytuje rozhraní API, které umožňuje přístup k tajemstvím na základě zásad. Každý uživatel rozhraní API musí ověřit a vidět pouze ta tajemství, která jsou oprávněni prohlížet.
Vault šifruje data pomocí 256bitového AES s GCM.
Může akumulovat data v různých backendech, jako je Amazon DynamoDB, Consul a mnoho dalších. Vault podporuje protokolování do místního souboru pro služby auditu, serveru Syslog nebo přímo do soketu. Vault zaznamenává informace o klientovi, který jednal, IP adrese klienta, akci a čase, kdy byla provedena
Spuštění/restartování vždy vyžaduje jeden nebo více operátorů, kteří odpečeňují trezor. Pracuje především s tokeny. Každý token je přidělen zásadě, která může omezit akce a cesty. Klíčové vlastnosti trezoru jsou:
- Šifruje a dešifruje data, aniž by je ukládal.
- Vault může generovat tajné klíče na vyžádání pro některé operace, jako jsou databáze AWS nebo SQL.
- Umožňuje replikaci napříč více datovými centry.
- Trezor má vestavěnou ochranu pro tajné odvolání.
- Slouží jako tajné úložiště s podrobnostmi o řízení přístupu.
Správce tajemství AWS
Na tomto seznamu jste očekávali AWS. ne?
AWS má řešení na každý problém.
AWS Secrets Manager umožňuje rychle otáčet, spravovat a získávat přihlašovací údaje k databázi, klíče API a další hesla. Pomocí Správce tajných informací můžete zabezpečit, analyzovat a spravovat tajemství potřebná pro přístup k funkcím AWS Cloud ve službách třetích stran a v místních prostorách.
Správce tajemství vám umožňuje spravovat přístup k tajným klíčům pomocí jemně zpracovaných oprávnění. Klíčové vlastnosti AWS Secrets Manager jsou:
- Šifruje utajená tajemství pomocí šifrovacích klíčů.
- Také dešifruje tajemství a poté bezpečně přenáší přes TLS.
- Poskytuje ukázky kódu, které pomáhají volat rozhraní API Správce tajemství
- Má knihovny mezipaměti na straně klienta pro zlepšení dostupnosti a snížení latence používání vašich tajemství.
- Nakonfigurujte koncové body Amazon VPC (Virtual Private Cloud), abyste udrželi provoz v síti AWS.
Bezklíčový trezor
Akeyless Vault je jednotná, komplexní platforma pro správu tajných informací založená na SaaS, která chrání všechny typy přihlašovacích údajů, statické i dynamické, včetně automatizace certifikátů a šifrovacích klíčů. Kromě toho poskytuje jedinečné řešení pro bezpečný vzdálený přístup (nulová důvěryhodnost) ke všem zdrojům napříč staršími, multicloudovými a hybridními prostředími.
Akeyless chrání tajemství a klíče pomocí vestavěné FIPS 140-2 certifikované a patentované technologie; má nulovou znalost tajemství a klíčů svých zákazníků.
Mezi klíčové vlastnosti patří:
- Globálně dostupná platforma založená na SaaS, která nabízí vestavěnou vysokou dostupnost (HA) a zotavení po havárii (DR) využitím cloudové nativní architektury na vrcholu služby pro více regionů a více cloudů.
- Pokročilá správa tajemství poskytuje bezpečný trezor pro statická a dynamická tajemství, jako jsou hesla, přihlašovací údaje, klíče API, tokeny atd.
- Akeyless Vault umožňuje zřizování a vkládání všech typů tajemství do všech vašich serverů, aplikací a pracovních zátěží a poskytuje širokou škálu pluginů, které vám umožní připojit se ke všem vašim DevOps a IT platformám, jako je CI/CD, správa konfigurace a orchestrace. nástroje, jako je Kubernetes & Docker.
Nejrychlejší doba výroby, protože:
- SaaS – není nutné žádné nasazení, instalace ani údržba
- Okamžité přihlášení s automatickou migrací tajemství ze známých existujících úložišť tajemství
Platforma nese další dva pilíře:
- Přístup k aplikacím s nulovou důvěrou (AKA Remote Access) poskytováním jednotného ověřování a přístupových pověření just-in-time, což vám umožní zabezpečit aplikace a infrastrukturu bez perimetru.
- Šifrování jako služba umožňuje zákazníkům chránit citlivá osobní a obchodní data použitím pokročilého šifrování na úrovni aplikací s certifikací FIPS 140-2.
Keywhiz
Square Keywhiz pomáhá s tajemstvími infrastruktury, klíčenky GPG a přihlašovacími údaji k databázi, včetně certifikátů a klíčů TLS, symetrických klíčů, tokenů API a klíčů SSH pro externí služby. Keywhiz je nástroj pro manipulaci a sdílení tajemství.
Automatizace v Keywhiz nám umožňuje bezproblémově distribuovat a nastavovat základní tajemství našich služeb, což vyžaduje konzistentní a bezpečné prostředí. Klíčové vlastnosti Keywhiz jsou:
- Keywhiz Server poskytuje JSON API pro shromažďování a správu tajemství.
- Ukládá všechna tajemství pouze do paměti a nikdy se nevrací na disk.
- Uživatelské rozhraní je vytvořeno pomocí AngularJS, takže uživatelé mohou uživatelské rozhraní ověřit a používat.
Důvěrník
Confidant je open-source nástroj pro správu tajemství, který udržuje uživatelsky přívětivé úložiště a bezpečný přístup k tajemstvím. Confidant ukládá tajemství způsobem připojení v DynamoDB a generuje jedinečný datový klíč KMS pro každou úpravu všech tajemství pomocí symetrické autentizované kryptografie Fernet.
Poskytuje webové rozhraní AngularJS, které umožňuje koncovým uživatelům efektivně spravovat tajemství, formy tajemství služeb a záznam změn. Některé z funkcí zahrnují:
- Autentizace KMS
- Klidové šifrování verzovaných tajemství
- Uživatelsky přívětivé webové rozhraní pro správu tajemství
- Generujte tokeny, které lze použít pro ověřování mezi službami nebo pro předávání šifrovaných zpráv mezi službami.
SOPS
Dovolte mi představit vám SOPS, neuvěřitelný nástroj, který jsem nedávno objevil. Je to editor šifrovaných souborů, který podporuje formáty jako YAML, JSON, ENV, INI a BINARY. Nejlepší část? Dokáže šifrovat vaše soubory pomocí AWS KMS, GCP KMS, Azure Key Vault, věku a PGP.
Tady to začíná být zajímavé. Představte si, že pracujete na počítači, který nemá přímý přístup k šifrovacím klíčům, jako jsou klíče PGP. Bez obav! SOPS vás pokryje svou klíčovou servisní funkcí. Přístup SOPS k šifrovacím klíčům uloženým na vzdáleném počítači můžete udělit předáním soketu. Je to jako mít svého vlastního přenosného agenta GPG!
SOPS funguje na modelu klient-server pro šifrování a dešifrování datového klíče. Ve výchozím nastavení spouští v rámci procesu službu místního klíče. Klient odesílá požadavky na šifrování nebo dešifrování službě klíčů pomocí gRPC a Protocol Buffers. Nebojte se; tyto požadavky neobsahují žádné kryptografické klíče, veřejné ani soukromé.
Musím zdůraznit, že připojení klíčové služby aktuálně postrádá autentizaci nebo šifrování. Pro zajištění bezpečnosti se důrazně doporučuje autentizace a šifrování připojení jinými prostředky, jako je tunel SSH.
Ale počkat, je toho víc! SOPS může generovat protokoly auditu pro sledování přístupu k souborům ve vašem kontrolovaném prostředí. Je-li povoleno, zaznamenává aktivitu dešifrování v databázi PostgreSQL, včetně časového razítka, uživatelského jména a dešifrovaného souboru. Docela pěkné, že?
SOPS navíc nabízí dva užitečné příkazy pro předávání dešifrovaných tajemství novému procesu: exec-env a exec-file. První vloží výstup do prostředí podřízeného procesu, zatímco druhý jej uloží do dočasného souboru.
Pamatujte, že přípona souboru určuje metodu šifrování používanou SOPS. Pokud zašifrujete soubor v určitém formátu, nezapomeňte zachovat původní příponu souboru pro dešifrování. Je to nejjednodušší způsob, jak zajistit kompatibilitu.
SOPS čerpá inspiraci z nástrojů, jako je hiera-eyaml, credstash, tenisky a úložiště hesel. Je to fantastické řešení, které eliminuje potíže s ruční správou souborů zašifrovaných PGP.
Azure Key Vault
Hostování aplikací v Azure? Pokud ano, pak by to byla dobrá volba.
Azure Key Vault umožňuje uživatelům spravovat všechna tajemství (klíče, certifikáty, připojovací řetězce, hesla atd.) pro jejich cloudovou aplikaci na konkrétním místě. Po vybalení je integrován s původy a cíli tajemství v Azure. Aplikace mimo Azure jej mohou dále využívat.
Výkon můžete zlepšit také snížením latence vašich cloudových aplikací uložením kryptografických klíčů do cloudu namísto místních.
Azure může pomoci splnit požadavky na ochranu dat a dodržování předpisů.
Tajemství dockerů
Tajné klíče Dockeru umožňují snadno přidat tajný klíč do clusteru a sdílí se pouze prostřednictvím vzájemně ověřených připojení TLS. Poté se data dostanou do manažerského uzlu v tajných klíčích Dockeru a automaticky se uloží do interního úložiště Raft, což zajišťuje, že data by měla být šifrována.
Tajná tajemství Dockeru lze snadno použít ke správě dat a tím je přenést do kontejnerů s přístupem k nim. Zabraňuje úniku tajemství, když je aplikace používá.
Knox
Knox, byl vyvinut platformou sociálních médií Pinterest, aby vyřešil jejich problém s ruční správou klíčů a udržováním auditní stopy. Knox je napsán v Go a klienti komunikují se serverem Knox pomocí REST API.
Knox používá pro ukládání klíčů nestálou dočasnou databázi. Šifruje data uložená v databázi pomocí AES-GCM s hlavním šifrovacím klíčem. Knox je k dispozici také jako obrázek Docker.
Doppler
Od začínajících až po podniky používají Doppler tisíce organizací, aby uchovaly svá tajemství a konfiguraci aplikací v synchronizaci napříč prostředími, členy týmu a zařízeními.
Není potřeba sdílet tajemství přes e-mail, soubory zip, git a Slack; umožněte svým týmům spolupracovat tak, aby to měly okamžitě po přidání tajenky. Doppler vám přináší uvolněný pocit tím, že automatizuje proces a šetří čas.
Můžete vytvořit odkazy na často používaná tajemství, takže jedinou aktualizaci v určitých intervalech udělá veškerou vaši práci. Použijte tajemství v Serverless, Docker nebo kdekoli, Doppler s vámi spolupracuje. Když se váš zásobník vyvíjí, zůstává tak, jak je, a umožňuje vám začít pracovat během několika minut.
Doppler CLI ví vše o získávání vašich tajemství na základě vašeho projektového adresáře. Nebojte se, pokud se něco změní, nefunkční úpravy můžete snadno vrátit zpět jediným kliknutím nebo pomocí CLI a API.
S Dopplerem pracujte chytřeji než tvrději a získejte svůj tajný software pro správu ZDARMA. Pokud hledáte více funkcí a výhod, použijte startovací balíček za 6 $/měsíc/místo.
Závěr
Doufám, že výše uvedené vám poskytne představu o některém z nejlepších softwaru pro správu přihlašovacích údajů aplikace.
Dále prozkoumejte inventář digitálních aktiv a řešení monitorování.