Обезбедите оно што је важно за ваше пословање.
Има много тога о чему треба размишљати док радите са контејнерима, Кубернетес-ом, облаком и тајнама. Морате применити и повезати најбоље праксе у вези са управљањем идентитетом и приступом и изабрати и применити различите алате.
Без обзира да ли сте програмер или професионалац за системски администратор, морате јасно да кажете да имате прави избор алата за заштиту окружења. Апликацијама је потребан приступ конфигурационим подацима да би исправно радиле. И док већина података о конфигурацији није осетљива, неки морају да остану поверљиви. Ове жице су познате као тајне.
Немој ми рећи да још увек имаш тајне у ГитХубу.
Па, ако правите поуздану апликацију, велике су шансе да ваше функције захтевају приступ тајнама или било којој другој врсти осетљивих информација које чувате.
Ови секрети могу укључивати:
- АПИ кључеви
- Акредитиви базе података
- Кључеви за шифровање
- Осетљива подешавања конфигурације (адреса е-поште, корисничка имена, ознаке за отклањање грешака, итд.)
- Лозинке
Међутим, безбедно чување ових тајни касније се може показати као тежак задатак. Дакле, ево неколико савета за програмере и администраторе система:
Преглед садржаја
Закрпа функција зависности
Увек запамтите да пратите библиотеке које се користе у функцијама и означите рањивости тако што ћете их континуирано пратити.
Користите АПИ мрежне пролазе као безбедносни бафер
Не излажите функције управо интеракцији корисника. Искористите могућности АПИ гатеваи-а ваших добављача облака да бисте укључили још један ниво безбедности поврх своје функције.
Обезбедите и проверите податке у транзиту
Обавезно искористите ХТТПС за безбедан комуникациони канал и верификујте ССЛ сертификате да бисте заштитили удаљени идентитет.
Пратите правила безбедног кодирања за код апликације.
Без сервера за хаковање, нападачи ће окренути своје мисли ка слоју апликације, па се додатно побрините за заштиту вашег кода.
Управљајте тајнама у безбедном складишту
Осетљиве информације могу лако да процуре, а застарели акредитиви су склони нападима дуге табеле ако занемарите да усвојите одговарајућа решења за управљање тајном. Не заборавите да не складиштите тајне у систем апликација, променљиве окружења или систем управљања изворним кодом.
Кључни менаџмент у свету сарадње је веома болан због, између осталих разлога, недостатка знања и ресурса. Уместо тога, неке компаније уграђују кључеве за шифровање и друге софтверске тајне директно у изворни код за апликацију која их користи, уводећи ризик од откривања тајни.
Због недостатка превише готових решења, многе компаније су настојале да направе сопствене алате за управљање тајнама. Ево неколико које можете искористити за своје захтеве.
Трезор
ХасхиЦорп Ваулт је алатка за безбедно складиштење и приступ тајнама.
Пружа обједињени интерфејс за тајност уз одржавање строге контроле приступа и евидентирања свеобухватног дневника ревизије. То је алатка која обезбеђује корисничке апликације и базе како би се ограничио површински простор и време напада у случају кршења.
Даје АПИ који омогућава приступ тајнама на основу политика. Сваки корисник АПИ-ја треба да верификује и види само тајне за које је овлашћен да их прегледа.
Трезор шифрује податке користећи 256-битни АЕС са ГЦМ.
Може да акумулира податке у разним бацкендовима као што су Амазон ДинамоДБ, Цонсул и још много тога. Трезор подржава евидентирање у локалну датотеку за услуге ревизије, Сислог сервер или директно на сокет. Трезор евидентира информације о клијенту који је деловао, ИП адреси клијента, радњи и у које време је извршена
Покретање/поновно покретање увек укључује једног или више оператера да отпечате трезор. Ради првенствено са токенима. Сваки токен се даје политици која може ограничити радње и путање. Кључне карактеристике трезора су:
- Он шифрује и дешифрује податке без складиштења.
- Трезор може да генерише тајне на захтев за неке операције, као што су АВС или СКЛ базе података.
- Омогућава репликацију у више центара података.
- Трезор има уграђену заштиту за тајно опозив.
- Служи као тајно спремиште са детаљима контроле приступа.
АВС Сецретс Манагер
Очекивали сте АВС на овој листи. зар не?
АВС има решење за сваки проблем.
АВС Сецретс Манагер вам омогућава да брзо ротирате, управљате и преузимате акредитиве базе података, АПИ кључеве и друге лозинке. Користећи Сецретс Манагер, можете да обезбедите, анализирате и управљате тајнама потребним за приступ могућностима АВС Цлоуд-а, на услугама независних произвођача и на локалном нивоу.
Сецретс Манагер вам омогућава да управљате приступом тајнама користећи фино зрнасте дозволе. Кључне карактеристике АВС Сецретс Манагер-а су:
- Шифрује тајне у мировању користећи кључеве за шифровање.
- Такође, дешифрује тајну, а затим безбедно преноси преко ТЛС-а.
- Пружа узорке кода који помажу при позивању АПИ-ја Сецретс Манагер-а
- Поседује библиотеке за кеширање на страни клијента за побољшање доступности и смањење кашњења коришћења ваших тајни.
- Конфигуришите крајње тачке Амазон ВПЦ (виртуелни приватни облак) да бисте задржали саобраћај унутар АВС мреже.
Акеилесс Ваулт
Акеилесс Ваулт је обједињена платформа за управљање тајнама од краја до краја заснована на СааС-у, која штити све врсте акредитива, статичке и динамичке, укључујући аутоматизацију сертификата и кључеве за шифровање. Осим тога, пружа јединствено решење за сигуран даљински приступ (нулто поверење) свим ресурсима у наслеђеним, мулти-цлоуд и хибридним окружењима.
Акеилесс штити тајне и кључеве користећи уграђену ФИПС 140-2 сертификовану и патентирану технологију; нема знања о тајнама и кључевима својих купаца.
Кључне карактеристике укључују:
- Глобално доступна платформа заснована на СааС-у која нуди уграђену високу доступност (ХА) и опоравак од катастрофе (ДР) коришћењем архитектуре засноване на облаку на врху сервиса за више региона и више облака.
- Напредно управљање тајнама обезбеђује сигуран трезор за статичке и динамичке тајне као што су лозинке, акредитиви, АПИ кључеви, токени итд.
- Акеилесс Ваулт омогућава обезбеђивање и убризгавање свих врста тајни на све ваше сервере, апликације и радна оптерећења, пружајући широк избор додатака који вам омогућавају да се повежете са свим вашим ДевОпс и ИТ платформама као што су ЦИ/ЦД, управљање конфигурацијом и оркестрација алати као што су Кубернетес & Доцкер.
Најбрже време до производње јер:
- СааС – није потребно постављање, инсталација или одржавање
- Тренутна интеграција са аутоматском миграцијом тајни из познатих постојећих репозиторија тајни
Платформа подржава још два стуба:
- Приступ апликацијама са нултим поверењем (АКА Ремоте Аццесс) обезбеђивањем обједињене аутентикације и акредитива за приступ само на време, омогућавајући вам да обезбедите апликације и инфраструктуру без периметра.
- Шифровање као услуга омогућава клијентима да заштите осетљиве личне и пословне податке применом напредног ФИПС 140-2 сертификованог шифровања на нивоу апликације.
Кеивхиз
Скуаре Кеивхиз помаже са тајнама инфраструктуре, ГПГ кључевима и акредитивима базе података, укључујући ТЛС сертификате и кључеве, симетричне кључеве, АПИ токене и ССХ кључеве за спољне услуге. Кеивхиз је алатка за руковање и дељење тајни.
Аутоматизација у Кеивхиз-у нам омогућава да неприметно дистрибуирамо и постављамо основне тајне за наше услуге, што захтева доследно и безбедно окружење. Кључне карактеристике Кеивхиз-а су:
- Кеивхиз Сервер обезбеђује ЈСОН АПИ-је за прикупљање и управљање тајнама.
- Све тајне чува само у меморији и никада се не враћа на диск.
- УИ је направљен са АнгуларЈС-ом тако да корисници могу да провере и користе кориснички интерфејс.
Поверљив
Цонфидант је алатка за управљање тајнама отвореног кода која одржава лако складиштење и сигуран приступ тајнама. Цонфидант складишти тајне на начин додавања у ДинамоДБ и генерише јединствени КМС кључ података за сваку модификацију свих тајних, користећи Фернет симетричну аутентификовану криптографију.
Обезбеђује АнгуларЈС веб интерфејс који крајњим корисницима омогућава ефикасно управљање тајнама, облицима тајни услуга и евиденцијом промена. Неке од карактеристика укључују:
- КМС аутентификација
- Шифровање верзионисаних тајни у стању мировања
- Веб интерфејс прилагођен кориснику за управљање тајнама
- Генеришите токене који се могу применити за аутентификацију од услуге до услуге или за прослеђивање шифрованих порука између услуга.
СОПС
Дозволите ми да вам представим СОПС, невероватан алат који сам недавно открио. То је шифровани уређивач датотека који подржава формате као што су ИАМЛ, ЈСОН, ЕНВ, ИНИ и БИНАРИ. Најбољи део? Може да шифрује ваше датотеке користећи АВС КМС, ГЦП КМС, Азуре Кеи Ваулт, старост и ПГП.
Сада, ево где постаје занимљиво. Замислите да радите на машини која нема директан приступ кључевима за шифровање као што су ПГП кључеви. Без бриге! СОПС вас је покрио својом кључном функцијом услуге. Можете одобрити СОПС приступ кључевима за шифровање ускладиштеним на удаљеној машини прослеђивањем утичнице. То је као да имате свој сопствени преносиви ГПГ агент!
СОПС ради на клијент-сервер моделу за шифровање и дешифровање кључа података. Подразумевано, покреће локалну услугу кључа унутар процеса. Клијент шаље захтеве за шифровање или дешифровање кључној услузи користећи гРПЦ и бафере протокола. Не брини; ови захтеви не садрже никакве криптографске кључеве, јавне или приватне.
Морам да нагласим да кључној сервисној вези тренутно недостаје аутентификација или шифровање. Провера аутентичности и шифровање везе путем других средстава, као што је ССХ тунел, топло се препоручује да би се осигурала безбедност.
Али чекајте, има још! СОПС може да генерише евиденције ревизије за праћење приступа датотекама у вашем контролисаном окружењу. Када је омогућено, он бележи активност дешифровања у ПостгреСКЛ бази података, укључујући временску ознаку, корисничко име и дешифровану датотеку. Прилично уредно, зар не?
Поред тога, СОПС нуди две згодне команде за прослеђивање дешифрованих тајни новом процесу: екец-енв и екец-филе. Први убризгава излаз у окружење подређеног процеса, док га други складишти у привремену датотеку.
Запамтите, екстензија датотеке одређује метод шифровања који користи СОПС. Ако шифрујете датотеку у одређеном формату, обавезно задржите оригиналну екстензију датотеке за дешифровање. То је најлакши начин да се осигура компатибилност.
СОПС црпи инспирацију из алата као што су хиера-еиамл, цредстасх, патике и продавница лозинки. То је фантастично решење које елиминише проблеме са ручним управљањем ПГП шифрованим датотекама.
Азуре Кеи Ваулт
Хостујете своје апликације на Азуре-у? Ако јесте, онда би ово био добар избор.
Азуре Кеи Ваулт омогућава корисницима да управљају свим тајнама (кључевима, сертификатима, низовима везе, лозинкама, итд.) за своју апликацију у облаку на одређеном месту. Интегрисан је ван кутије са пореклом и циљевима тајни у Азуре-у. Апликације ван Азуре-а могу даље да га користе.
Такође можете побољшати перформансе тако што ћете смањити кашњење ваших апликација у облаку тако што ћете чувати криптографске кључеве у облаку уместо на локалном нивоу.
Азуре може помоћи у постизању захтева заштите података и усклађености.
Доцкер сецретс
Доцкер тајне вам омогућавају да лако додате тајну у кластер, а дели се само преко међусобно проверених ТЛС веза. Затим се подаци стижу до менаџерског чвора у Доцкер тајнама и аутоматски се чувају у интерној Рафт продавници, што обезбеђује да подаци буду шифровани.
Доцкер тајне се могу лако применити за управљање подацима и на тај начин пренети исте у контејнере са приступом њима. Спречава цурење тајни када их апликација користи.
Кнок
Кнок, развила је платформа друштвених медија Пинтерест да реши њихов проблем са ручним управљањем кључевима и вођењем ревизорског трага. Кнок је написан у Го, а клијенти комуницирају са Кнок сервером користећи РЕСТ АПИ.
Кнок користи променљиву привремену базу података за чување кључева. Он шифрује податке ускладиштене у бази података користећи АЕС-ГЦМ са главним кључем за шифровање. Кнок је такође доступан као Доцкер слика.
Доплер
Од стартапа до предузећа, хиљаде организација користе Доплер да би одржале своју тајну и конфигурацију апликације у синхронизацији између окружења, чланова тима и уређаја.
Нема потребе да делите тајне преко е-поште, зип датотека, гит-а и Слацк-а; дозволите својим тимовима да сарађују тако да је имају одмах након додавања тајне. Доплер вам даје осећај опуштености аутоматизацијом процеса и уштедом времена.
Можете креирати референце на често коришћене тајне тако да ће једно ажурирање у одређеним интервалима обавити сав ваш посао. Користите тајне у Серверлесс-у, Доцкер-у или било где, Доплер ради са вама. Када се ваш стек развија, остаје такав какав јесте, омогућавајући вам да почнете уживо за неколико минута.
Допплер ЦЛИ зна све о преузимању ваших тајни на основу директоријума вашег пројекта. Не брините ако се нешто промени, можете лако да вратите покварене модификације једним кликом или преко ЦЛИ и АПИ-ја.
Са Доплером радите паметније него теже и набавите свој софтвер за тајно управљање БЕСПЛАТНО. Ако тражите више функција и погодности, идите са почетним пакетом од 6 УСД месечно по седишту.
Закључак
Надам се да вам горе наведено даје идеју о неким од најбољих софтвера за управљање акредитивима апликације.
Затим истражите инвентар дигиталне имовине и решења за праћење.