Zaštitite ono što je ključno za vaše poslovanje.
Mnogo je aspekata o kojima treba razmišljati prilikom rada sa kontejnerima, Kubernetesom, oblakom i tajnama. Neophodno je primeniti i integrisati najbolje prakse upravljanja identitetom i pristupom, kao i izabrati i implementirati odgovarajuće alate.
Bilo da ste programer ili administrator sistema, ključno je da imate pravi izbor alata za zaštitu okruženja. Aplikacije zahtevaju pristup konfiguracionim podacima kako bi ispravno funkcionisale. Iako većina konfiguracionih podataka nije osetljiva, neki od njih moraju ostati poverljivi. Takvi poverljivi podaci nazivaju se tajnama.
Nemojte mi reći da i dalje držite tajne na GitHub-u.
Ukoliko razvijate pouzdanu aplikaciju, velika je verovatnoća da će vaše funkcije zahtevati pristup tajnama ili drugim osetljivim informacijama koje čuvate.
Ove tajne mogu uključivati:
- API ključeve
- Akreditive za pristup bazama podataka
- Ključeve za šifrovanje
- Osetljiva podešavanja konfiguracije (e-mail adrese, korisnička imena, oznake za otklanjanje grešaka itd.)
- Lozinke
Međutim, sigurno čuvanje ovih tajni može predstavljati izazovan zadatak. Zato, evo nekoliko saveta za programere i administratore sistema:
Redovno ažurirajte zavisnosti funkcija
Uvek budite u toku sa bibliotekama koje se koriste u vašim funkcijama i identifikujte ranjivosti kontinuiranim praćenjem.
Koristite API gejtveje kao zaštitni sloj
Ne izlažite funkcije direktnoj interakciji korisnika. Iskoristite mogućnosti API gejtveja vaših provajdera oblaka da dodate još jedan nivo sigurnosti svojoj funkciji.
Osigurajte i verifikujte podatke u tranzitu
Obavezno koristite HTTPS za siguran komunikacioni kanal i verifikujte SSL sertifikate radi zaštite udaljenog identiteta.
Primenjujte pravila sigurnog kodiranja za aplikacijski kod
U nedostatku servera za hakovanje, napadači će se usmeriti na sloj aplikacije, stoga dodatno obratite pažnju na zaštitu vašeg koda.
Upravljajte tajnama u sigurnoj memoriji
Osetljive informacije lako mogu procureti, a zastareli akreditivi su podložni napadima dugih tabela ako zanemarite da usvojite odgovarajuća rešenja za upravljanje tajnama. Nemojte čuvati tajne u sistemu aplikacija, promenljivim okruženja ili sistemima za kontrolu verzija.
Upravljanje ključevima u svetu saradnje je otežano, između ostalog, nedostatkom znanja i resursa. Neke kompanije, umesto da se trude, ugrađuju ključeve za šifrovanje i druge softverske tajne direktno u izvorni kod aplikacija, što stvara rizik od otkrivanja tajni.
Zbog nedostatka gotovih rešenja, mnoge kompanije su pokušavale da razviju sopstvene alate za upravljanje tajnama. Evo nekih koje možete iskoristiti za svoje potrebe.
Vault
HashiCorp Vault je alat za sigurno skladištenje i pristup tajnama.
Pruža objedinjeni interfejs za tajnost uz održavanje stroge kontrole pristupa i sveobuhvatan dnevnik revizije. Ovaj alat osigurava korisničke aplikacije i baze podataka, ograničavajući površinu napada u slučaju narušavanja sigurnosti.
Vault pruža API koji omogućava pristup tajnama na osnovu definisanih politika. Svaki korisnik API-ja mora da se verifikuje i vidi samo one tajne za koje ima ovlašćenje.
Vault šifrira podatke koristeći 256-bitni AES sa GCM.
Može da akumulira podatke u različitim back-end sistemima kao što su Amazon DynamoDB, Consul i mnogi drugi. Vault podržava zapisivanje u lokalne datoteke za potrebe revizije, Syslog server ili direktno na soket. Vault evidentira informacije o klijentu koji je izvršio radnju, IP adresu klijenta, samu radnju i vreme njenog izvršenja.
Pokretanje/restart uvek uključuje jednog ili više operatera koji otpečate trezor. Radi prvenstveno sa tokenima. Svaki token je povezan sa politikom koja može ograničiti radnje i putanje. Ključne karakteristike Vault-a su:
- Šifrira i dešifrira podatke bez njihovog skladištenja.
- Vault može da generiše tajne na zahtev za određene operacije, kao što su AWS ili SQL baze podataka.
- Omogućava replikaciju u više centara podataka.
- Vault ima ugrađenu zaštitu za opoziv tajni.
- Služi kao sigurna ostava tajni sa detaljnom kontrolom pristupa.
AWS Secrets Manager
Verovatno ste očekivali AWS na ovoj listi, zar ne?
AWS ima rešenje za svaki problem.
AWS Secrets Manager vam omogućava brzo rotiranje, upravljanje i preuzimanje akreditiva baza podataka, API ključeva i drugih lozinki. Korišćenjem Secrets Managera, možete da osigurate, analizirate i upravljate tajnama potrebnim za pristup resursima AWS oblaka, uslugama trećih strana i lokalnim sistemima.
Secrets Manager vam omogućava da upravljate pristupom tajnama koristeći detaljne dozvole. Ključne karakteristike AWS Secrets Managera su:
- Šifrira tajne u mirovanju koristeći ključeve za šifrovanje.
- Takođe, dešifruje tajne i zatim ih sigurno prenosi preko TLS-a.
- Pruža uzorke koda koji pomažu prilikom pozivanja API-ja Secrets Managera.
- Poseduje biblioteke za keširanje na strani klijenta za poboljšanje dostupnosti i smanjenje kašnjenja prilikom korišćenja tajni.
- Konfigurišite krajnje tačke Amazon VPC (virtualni privatni oblak) da zadržite saobraćaj unutar AWS mreže.
Akeyless Vault
Akeyless Vault je objedinjena platforma za end-to-end upravljanje tajnama zasnovana na SaaS modelu, koja štiti sve vrste akreditiva, statičkih i dinamičkih, uključujući automatizaciju sertifikata i ključeve za šifrovanje. Pored toga, pruža jedinstveno rešenje za siguran daljinski pristup (zero trust) svim resursima u postojećim, multi-cloud i hibridnim okruženjima.
Akeyless štiti tajne i ključeve koristeći ugrađenu FIPS 140-2 sertifikovanu i patentiranu tehnologiju; nema pristup tajnama i ključevima svojih klijenata.
Ključne karakteristike uključuju:
- Globalno dostupna platforma zasnovana na SaaS modelu, koja nudi ugrađenu visoku dostupnost (HA) i oporavak od katastrofe (DR) korišćenjem arhitekture zasnovane na oblaku sa više regiona i više oblaka.
- Napredno upravljanje tajnama pruža siguran trezor za statičke i dinamičke tajne kao što su lozinke, akreditivi, API ključevi, tokeni itd.
- Akeyless Vault omogućava obezbeđivanje i ubrizgavanje svih vrsta tajni na sve vaše servere, aplikacije i radna opterećenja, pružajući širok spektar dodataka koji vam omogućavaju da se povežete sa svim vašim DevOps i IT platformama kao što su CI/CD, alati za upravljanje konfiguracijom i orkestraciju kao što su Kubernetes i Docker.
Najbrže vreme do produkcije, jer:
- SaaS – nije potrebno podešavanje, instalacija ili održavanje
- Trenutna integracija sa automatskom migracijom tajni iz poznatih postojećih repozitorija tajni
Platforma podržava još dva stuba:
- Pristup aplikacijama sa zero trust principom (poznat kao Remote Access) obezbeđivanjem objedinjene autentifikacije i akreditiva za pristup samo kada je to potrebno, omogućavajući vam da obezbedite aplikacije i infrastrukturu bez perimetra.
- Šifrovanje kao usluga omogućava klijentima da zaštite osetljive lične i poslovne podatke primenom naprednog FIPS 140-2 sertifikovanog šifrovanja na nivou aplikacije.
Keywhiz
Square Keywhiz pomaže pri upravljanju tajnama infrastrukture, GPG ključevima i akreditivima baze podataka, uključujući TLS sertifikate i ključeve, simetrične ključeve, API tokene i SSH ključeve za eksterne usluge. Keywhiz je alat za upravljanje i deljenje tajni.
Automatizacija u Keywhiz-u nam omogućava da neprimetno distribuiramo i postavljamo osnovne tajne za naše usluge, što zahteva konzistentno i sigurno okruženje. Ključne karakteristike Keywhiz-a su:
- Keywhiz Server obezbeđuje JSON API-je za prikupljanje i upravljanje tajnama.
- Sve tajne čuva samo u memoriji i nikada se ne zapisuju na disk.
- Korisnički interfejs je napravljen sa AngularJS-om, tako da korisnici mogu da proveravaju i koriste korisnički interfejs.
Confidant
Confidant je alat za upravljanje tajnama otvorenog koda koji održava lako skladištenje i siguran pristup tajnama. Confidant skladišti tajne u DynamoDB i generiše jedinstveni KMS ključ podataka za svaku modifikaciju svih tajni, koristeći Fernet simetričnu autentifikovanu kriptografiju.
Obezbeđuje AngularJS web interfejs koji krajnjim korisnicima omogućava efikasno upravljanje tajnama, oblicima tajni usluga i evidencijom promena. Neke od karakteristika uključuju:
- KMS autentifikaciju
- Šifrovanje verziranih tajni u mirovanju
- Web interfejs prilagođen korisniku za upravljanje tajnama
- Generisanje tokena koji se mogu primeniti za autentifikaciju od usluge do usluge ili za prosleđivanje šifrovanih poruka između usluga.
SOPS
Predstavljam vam SOPS, neverovatan alat koji sam nedavno otkrio. To je šifrovani uređivač datoteka koji podržava formate kao što su YAML, JSON, ENV, INI i BINARY. Najbolji deo? Može da šifrira vaše datoteke koristeći AWS KMS, GCP KMS, Azure Key Vault, age i PGP.
Sada, ovde postaje zanimljivo. Zamislite da radite na mašini koja nema direktan pristup ključevima za šifrovanje kao što su PGP ključevi. Bez brige! SOPS vas pokriva svojom funkcijom ključnog servisa. Možete da odobrite SOPS-u pristup ključevima za šifrovanje koji su uskladišteni na udaljenoj mašini prosleđivanjem utičnice. To je kao da imate svog prenosivog PGP agenta!
SOPS radi na klijent-server modelu za šifrovanje i dešifrovanje ključa podataka. Po default-u, pokreće lokalni ključni servis unutar procesa. Klijent šalje zahteve za šifrovanje ili dešifrovanje ključnom servisu koristeći gRPC i protokolske buffere. Ne brinite, ovi zahtevi ne sadrže nikakve kriptografske ključeve, ni javne ni privatne.
Moram da naglasim da ključnoj servisnoj vezi trenutno nedostaje autentifikacija ili šifrovanje. Autentifikacija i šifrovanje veze putem drugih sredstava, kao što je SSH tunel, se preporučuje kako bi se osigurala bezbednost.
Ali čekajte, ima još! SOPS može da generiše evidencije revizije za praćenje pristupa datotekama u vašem kontrolisanom okruženju. Kada je omogućeno, beleži aktivnost dešifrovanja u PostgreSQL bazi podataka, uključujući vremensku oznaku, korisničko ime i dešifrovanu datoteku. Prilično uredno, zar ne?
Pored toga, SOPS nudi dve zgodne komande za prosleđivanje dešifrovanih tajni novom procesu: exec-env i exec-file. Prva ubrizgava izlaz u okruženje podređenog procesa, dok ga druga skladišti u privremenu datoteku.
Zapamtite, ekstenzija datoteke određuje metod šifrovanja koji koristi SOPS. Ako šifrujete datoteku u određenom formatu, obavezno zadržite originalnu ekstenziju datoteke za dešifrovanje. To je najlakši način da se osigura kompatibilnost.
SOPS crpi inspiraciju iz alata kao što su hiera-eyaml, credstash, patike i prodavnica lozinki. To je fantastično rešenje koje eliminiše probleme sa ručnim upravljanjem PGP šifrovanim datotekama.
Azure Key Vault
Hostujete svoje aplikacije na Azure-u? Ako je odgovor potvrdan, onda bi ovo bio dobar izbor.
Azure Key Vault omogućava korisnicima da upravljaju svim tajnama (ključevima, sertifikatima, stringovima za povezivanje, lozinkama itd.) za svoju aplikaciju u oblaku na određenom mestu. Integrisan je „out of the box“ sa poreklom i ciljevima tajni u Azure-u. Aplikacije izvan Azure-a mogu ga takođe koristiti.
Možete poboljšati performanse smanjivanjem kašnjenja vaših aplikacija u oblaku čuvanjem kriptografskih ključeva u oblaku umesto na lokalnom nivou.
Azure može pomoći u postizanju zahteva zaštite podataka i usklađenosti.
Docker secrets
Docker tajne vam omogućavaju da lako dodate tajnu u klaster, a ona se deli samo preko uzajamno proverenih TLS veza. Podaci zatim stižu do menadžerskog čvora u Docker tajnama i automatski se čuvaju u internoj Raft bazi podataka, što obezbeđuje da podaci budu šifrovani.
Docker tajne se mogu lako primeniti za upravljanje podacima i na taj način preneti iste u kontejnere sa pristupom istim. Sprečava curenje tajni kada ih aplikacija koristi.
Knox
Knox, razvijen od strane platforme društvenih medija Pinterest, rešava njihov problem sa ručnim upravljanjem ključevima i vođenjem revizorskog traga. Knox je napisan u Go, a klijenti komuniciraju sa Knox serverom koristeći REST API.
Knox koristi promenljivu privremenu bazu podataka za čuvanje ključeva. On šifrira podatke uskladištene u bazi podataka koristeći AES-GCM sa glavnim ključem za šifrovanje. Knox je takođe dostupan kao Docker slika.
Doppler
Od startapa do velikih preduzeća, hiljade organizacija koriste Doppler da bi održale svoje tajne i konfiguracije aplikacija sinhronizovanim između različitih okruženja, članova tima i uređaja.
Nema potrebe da delite tajne putem e-pošte, zip datoteka, Git-a ili Slack-a; omogućite svojim timovima da sarađuju tako da odmah imaju pristup tajnama nakon njihovog dodavanja. Doppler vam pruža osećaj opuštenosti automatizacijom procesa i uštedom vremena.
Možete kreirati reference na često korišćene tajne, tako da će jedno ažuriranje u određenim intervalima obaviti sav posao. Koristite tajne u serverless okruženju, Docker-u ili bilo gde, Doppler radi sa vama. Kada se vaš stack razvija, ostaje onakav kakav je, omogućavajući vam da počnete sa radom za nekoliko minuta.
Doppler CLI zna sve o preuzimanju vaših tajni na osnovu direktorijuma vašeg projekta. Ne brinite ako se nešto promeni, možete lako da vratite neispravne modifikacije jednim klikom ili putem CLI-ja i API-ja.
Sa Dopplerom radite pametnije, a ne teže, i nabavite svoj softver za upravljanje tajnama BESPLATNO. Ako tražite više funkcija i pogodnosti, odaberite početni paket od 6 USD mesečno po sedištu.
Zaključak
Nadam se da vam gore navedeno daje ideju o nekim od najboljih softvera za upravljanje akreditivima aplikacije.
Zatim istražite inventar digitalne imovine i rešenja za praćenje.