Sikre det som betyr noe for virksomheten din.
Det er mye å tenke på mens du jobber med containere, Kubernetes, sky og hemmeligheter. Du må bruke og relatere beste praksis rundt identitets- og tilgangsadministrasjon og velge og utføre ulike verktøy.
Enten du er en utvikler eller en systemadministrator, må du gjøre det klart at du har det riktige valget av verktøy for å holde miljøene dine sikre. Applikasjoner trenger tilgang til konfigurasjonsdata på plass for å fungere korrekt. Og selv om de fleste konfigurasjonsdata er ikke-sensitive, må noen forbli konfidensielle. Disse strengene er kjent som hemmeligheter.
Ikke fortell meg at du fortsatt har hemmeligheter i GitHub.
Vel, hvis du bygger en pålitelig applikasjon, er sjansen stor for at funksjonene dine krever at du får tilgang til hemmeligheter eller andre typer sensitiv informasjon du oppbevarer.
Disse utskiller kan omfatte:
- API-nøkler
- Databaselegitimasjon
- Krypteringsnøkler
- Sensitive konfigurasjonsinnstillinger (e-postadresse, brukernavn, feilsøkingsflagg osv.)
- Passord
Men å ta vare på disse hemmelighetene sikkert kan senere vise seg å være en vanskelig oppgave. Så her er noen tips for utviklere og systemadministratorer:
Innholdsfortegnelse
Patching funksjonsavhengigheter
Husk alltid å spore bibliotekene som brukes i funksjonene og flagg sårbarhetene ved å overvåke dem kontinuerlig.
Bruk API-gatewayer som en sikkerhetsbuffer
Ikke utsett funksjoner nøyaktig for brukerinteraksjon. Utnytt skyleverandørenes API-gateway-funksjoner for å inkludere enda et lag med sikkerhet på toppen av funksjonen din.
Sikre og bekrefte data under transport
Sørg for å utnytte HTTPS for en sikker kommunikasjonskanal og verifiser SSL-sertifikater for å beskytte den eksterne identiteten.
Følg sikre kodingsregler for applikasjonskode.
Uten servere å hacke, vil angripere vende tankene sine til applikasjonslaget, så vær ekstra forsiktig for å beskytte koden din.
Administrer hemmeligheter i sikker lagring
Sensitiv informasjon kan lett lekkes, og utdatert legitimasjon er egnet til regnbuetabellangrep hvis du unnlater å ta i bruk riktige hemmelige administrasjonsløsninger. Husk å ikke lagre hemmeligheter i applikasjonssystemet, miljøvariabler eller kildekodestyringssystemet.
Nøkkelledelse i samarbeidsverdenen er svært smertefullt på grunn av blant annet mangel på kunnskap og ressurser. I stedet legger noen selskaper inn krypteringsnøklene og andre programvarehemmeligheter direkte i kildekoden for applikasjonen som bruker dem, og introduserer risikoen for å avsløre hemmelighetene.
På grunn av mangelen på for mange hylleløsninger, har mange selskaper forsøkt å bygge sine egne verktøy for hemmeligheter. Her er noen du kan utnytte for dine behov.
Hvelv
HashiCorp Vault er et verktøy for sikker lagring og tilgang til hemmeligheter.
Det gir et enhetlig grensesnitt til hemmelig samtidig som den opprettholder tett tilgangskontroll og logger en omfattende revisjonslogg. Det er et verktøy som sikrer brukerapplikasjoner og baser for å begrense overflateplassen og angrepstiden i et brudd.
Det gir et API som gir tilgang til hemmeligheter basert på retningslinjer. Enhver bruker av APIen må bekrefte og bare se hemmelighetene de er autorisert til å se.
Vault krypterer data ved hjelp av 256-bit AES med GCM.
Den kan akkumulere data i forskjellige backends som Amazon DynamoDB, Consul og mye mer. Vault støtter logging til en lokal fil for revisjonstjenester, en Syslog-server eller direkte til en socket. Vault logger informasjon om klienten som handlet, klientens IP-adresse, handlingen og når den ble utført
Start/omstart involverer alltid en eller flere operatører for å åpne forseglingen av hvelvet. Det fungerer først og fremst med tokens. Hvert token er gitt til en policy som kan begrense handlingene og banene. Nøkkelfunksjonene til hvelvet er:
- Den krypterer og dekrypterer data uten å lagre dem.
- Vault kan generere hemmeligheter på forespørsel for enkelte operasjoner, for eksempel AWS- eller SQL-databaser.
- Tillater replikering på tvers av flere datasentre.
- Vault har innebygd beskyttelse for hemmelig tilbakekalling.
- Fungerer som et hemmelig depot med tilgangskontrolldetaljer.
AWS Secrets Manager
Du forventet AWS på denne listen. Gjorde du ikke det?
AWS har en løsning på alle problemer.
AWS Secrets Manager lar deg raskt rotere, administrere og hente databaselegitimasjon, API-nøkler og andre passord. Ved å bruke Secrets Manager kan du sikre, analysere og administrere hemmeligheter som trengs for å få tilgang til AWS Cloud-funksjonene, på tredjepartstjenester og på stedet.
Secrets Manager lar deg administrere tilgang til hemmeligheter ved hjelp av finmaskede tillatelser. Nøkkelfunksjonene til AWS Secrets Manager er:
- Krypterer hemmeligheter i hvile ved hjelp av krypteringsnøkler.
- Dessuten dekrypterer den hemmeligheten, og deretter overfører den sikkert over TLS.
- Gir kodeeksempler som hjelper til med å kalle Secrets Manager APIer
- Den har bufferbiblioteker på klientsiden for å forbedre tilgjengeligheten og redusere forsinkelsen ved bruk av hemmelighetene dine.
- Konfigurer Amazon VPC (Virtual Private Cloud) endepunkter for å holde trafikk innenfor AWS-nettverket.
Akeyless Vault
Akeyless Vault er en enhetlig, ende-til-ende-hemmelighetsadministrasjon SaaS-basert plattform, som beskytter alle typer legitimasjon, både statiske og dynamiske, inkludert sertifikatautomatisering og krypteringsnøkler. Dessuten gir det en unik løsning for å sikre ekstern tilgang (null-tillit) til alle ressursene på tvers av eldre, multi-sky- og hybridmiljøer.
Akeyless beskytter hemmeligheter og nøkler ved hjelp av en innebygd FIPS 140-2-sertifisert og patentert teknologi; den har null kunnskap om kundenes hemmeligheter og nøkler.
Nøkkelfunksjonene inkluderer:
- Globalt tilgjengelig, SaaS-basert plattform som tilbyr en innebygd høy tilgjengelighet (HA) og katastrofegjenoppretting (DR) ved å utnytte skybasert arkitektur på toppen av en multiregion- og multiskytjeneste.
- Avansert hemmelighetsbehandling gir et sikkert hvelv for statiske og dynamiske hemmeligheter som passord, legitimasjon, API-nøkler, tokens, etc.
- Akeyless Vault muliggjør klargjøring og injeksjon av alle typer hemmeligheter til alle dine servere, applikasjoner og arbeidsbelastninger, og gir et bredt utvalg av plugins som lar deg koble til alle dine DevOps og IT-plattformer som CI/CD, konfigurasjonsadministrasjon og orkestrering verktøy som Kubernetes og Docker.
Raskeste tid til produksjon fordi:
- SaaS – ingen distribusjon, installasjon eller vedlikehold er nødvendig
- Øyeblikkelig ombordstigning med automatisk migrering av hemmeligheter fra kjente eksisterende hemmelighetsdepoter
Plattformen støtter ytterligere to søyler:
- Zero-Trust Application Access (AKA Remote Access) ved å gi enhetlig autentisering og rettferdig tilgangslegitimasjon, slik at du kan sikre de perimeterløse applikasjonene og infrastrukturen.
- Encryption as-a-Service lar kundene beskytte sensitive person- og forretningsdata ved å bruke avansert FIPS 140-2-sertifisert kryptering på app-nivå.
Keywhiz
Square Keywhiz hjelper med infrastrukturhemmeligheter, GPG-nøkkelringer og databaselegitimasjon, inkludert TLS-sertifikater og -nøkler, symmetriske nøkler, API-tokens og SSH-nøkler for eksterne tjenester. Keywhiz er et verktøy for å håndtere og dele hemmeligheter.
Automatiseringen i Keywhiz lar oss sømløst distribuere og sette opp de essensielle hemmelighetene for tjenestene våre, noe som krever et konsistent og sikkert miljø. Nøkkelfunksjonene til Keywhiz er:
- Keywhiz Server gir JSON APIer for å samle inn og administrere hemmeligheter.
- Den lagrer alle hemmeligheter kun i minnet og gjentas aldri på disken.
- Brukergrensesnittet er laget med AngularJS slik at brukere kan validere og bruke brukergrensesnittet.
Fortrolig
Confidant er et åpen kildekode-hemmelighetsadministrasjonsverktøy som opprettholder brukervennlig lagring og tilgang til hemmeligheter på en sikker måte. Confidant lagrer hemmeligheter på en tilføyende måte i DynamoDB, og genererer en unik KMS-datanøkkel for hver endring av all hemmeligheten, ved å bruke Fernet symmetrisk autentisert kryptografi.
Det gir et AngularJS-nettgrensesnitt som gir sluttbrukere å effektivt administrere hemmeligheter, formene for hemmeligheter til tjenester og registrering av endringer. Noen av funksjonene inkluderer:
- KMS-autentisering
- Hvilekryptering av versjonerte hemmeligheter
- Et brukervennlig webgrensesnitt for håndtering av hemmeligheter
- Generer tokens som kan brukes for tjeneste-til-tjeneste-autentisering eller for å sende krypterte meldinger mellom tjenester.
SOPS
La meg introdusere deg til SOPS, et utrolig verktøy jeg nylig oppdaget. Det er en kryptert filredigerer som støtter formater som YAML, JSON, ENV, INI og BINARY. Den beste delen? Den kan kryptere filene dine ved å bruke AWS KMS, GCP KMS, Azure Key Vault, alder og PGP.
Nå, her er hvor det blir interessant. Tenk deg at du jobber på en maskin som ikke har direkte tilgang til krypteringsnøkler som PGP-nøkler. Ingen bekymringer! SOPS har dekket deg med nøkkeltjenestefunksjonen. Du kan gi SOPS-tilgang til krypteringsnøkler som er lagret på en ekstern maskin ved å videresende en socket. Det er som å ha din egen bærbare GPG-agent!
SOPS opererer på en klient-server-modell for kryptering og dekryptering av datanøkkelen. Som standard kjører den en lokal nøkkeltjeneste i prosessen. Klienten sender krypterings- eller dekrypteringsforespørsler til nøkkeltjenesten ved hjelp av gRPC og Protocol Buffers. Ikke bekymre deg; disse forespørslene inneholder ingen kryptografiske nøkler, offentlige eller private.
Jeg må understreke at nøkkeltjenesteforbindelsen for øyeblikket mangler autentisering eller kryptering. Autentisering og kryptering av forbindelsen på andre måter, for eksempel en SSH-tunnel, anbefales sterkt for å sikre sikkerheten.
Men vent, det er mer! SOPS kan generere revisjonslogger for å spore filtilgang i ditt kontrollerte miljø. Når den er aktivert, registrerer den dekrypteringsaktivitet i en PostgreSQL-database, inkludert tidsstempel, brukernavn og dekryptert fil. Ganske ryddig, ikke sant?
I tillegg tilbyr SOPS to nyttige kommandoer for å overføre dekrypterte hemmeligheter til en ny prosess: exec-env og exec-file. Førstnevnte injiserer utdataene i miljøet til en barneprosess, mens sistnevnte lagrer det i en midlertidig fil.
Husk at filtypen bestemmer krypteringsmetoden som brukes av SOPS. Hvis du krypterer en fil i et spesifikt format, sørg for å beholde den originale filtypen for dekryptering. Det er den enkleste måten å sikre kompatibilitet.
SOPS henter inspirasjon fra verktøy som hiera-eyaml, credstash, joggesko og passordbutikk. Det er en fantastisk løsning som eliminerer bryet med å administrere PGP-krypterte filer manuelt.
Azure Key Vault
Vil du være vert for applikasjonene dine på Azure? Hvis ja, vil dette være et godt valg.
Azure Key Vault gjør det mulig for brukere å administrere alle hemmeligheter (nøkler, sertifikater, tilkoblingsstrenger, passord osv.) for skyapplikasjonen deres på et bestemt sted. Den er integrert ut av esken med opprinnelse og mål for hemmeligheter i Azure. Apper utenfor Azure kan bruke det videre.
Du kan også forbedre ytelsen ved å redusere ventetiden til skyapplikasjonene dine ved å lagre kryptografiske nøkler i skyen i stedet for på stedet.
Azure kan bidra til å oppnå databeskyttelse og samsvarskrav.
Docker-hemmeligheter
Docker-hemmeligheter lar deg enkelt legge til hemmeligheten til klyngen, og den deles kun over gjensidig autentiserte TLS-tilkoblinger. Da nås data til managernoden i Docker-hemmeligheter, og den lagres automatisk i den interne Raft-butikken, som sørger for at data skal være kryptert.
Docker-hemmeligheter kan enkelt brukes for å administrere dataene og derved overføre de samme til beholderne med tilgang til dem. Det forhindrer at hemmelighetene lekker når applikasjonen bruker dem.
Knox
Knox, ble utviklet av den sosiale medieplattformen Pinterest for å løse problemet deres med å administrere nøkler manuelt og holde et revisjonsspor. Knox er skrevet i Go, og klienter kommuniserer med Knox-serveren ved hjelp av en REST API.
Knox bruker en flyktig midlertidig database for lagring av nøkler. Den krypterer dataene som er lagret i databasen ved hjelp av AES-GCM med en hovedkrypteringsnøkkel. Knox er også tilgjengelig som et Docker-bilde.
Doppler
Fra startups til bedrifter, tusenvis av organisasjoner bruker Doppler for å holde hemmeligheten og appkonfigurasjonen sin synkronisert på tvers av miljøer, teammedlemmer og enheter.
Det er ikke nødvendig å dele hemmeligheter over e-post, zip-filer, git og Slack; la teamene dine samarbeide slik at de har det umiddelbart etter at hemmeligheten er lagt til. Doppler gir deg en avslappet følelse ved å automatisere prosessen og spare tid.
Du kan opprette referanser til de ofte brukte hemmelighetene slik at en enkelt oppdatering i noen intervaller vil gjøre alt arbeidet ditt. Bruk hemmelighetene i Serverless, Docker eller hvor som helst, Doppler jobber med deg. Når stabelen din utvikler seg, forblir den som den er, slik at du kan gå live i løpet av minutter.
Doppler CLI vet alt om å hente hemmelighetene dine basert på prosjektkatalogen din. Ikke bekymre deg hvis noe endres, du kan enkelt rulle tilbake de ødelagte modifikasjonene med et enkelt klikk eller via CLI og API.
Med Doppler kan du jobbe smartere enn hardere og få din hemmelige administrasjonsprogramvare GRATIS. Hvis du ser etter flere funksjoner og fordeler, kan du gå med en startpakke til $6/måned/sete.
Konklusjon
Jeg håper ovenstående gir deg en ide om noen av de beste programvarene for å administrere applikasjonslegitimasjon.
Deretter kan du utforske inventar og overvåkingsløsninger for digitale eiendeler.