Beveilig wat belangrijk is voor uw bedrijf.
Er komt veel kijken bij het werken met containers, Kubernetes, cloud en geheimen. Je moet best practices rond identiteits- en toegangsbeheer toepassen en relateren en verschillende tools kiezen en uitvoeren.
Of u nu een ontwikkelaar of een systeembeheerder bent, u moet duidelijk maken dat u de juiste tools heeft om uw omgevingen veilig te houden. Applicaties hebben toegang tot configuratiegegevens nodig om correct te kunnen werken. En hoewel de meeste configuratiegegevens niet-gevoelig zijn, moeten sommige vertrouwelijk blijven. Deze strings staan bekend als geheimen.
Vertel me niet dat je nog steeds geheimen hebt in GitHub.
Welnu, als u een betrouwbare applicatie bouwt, is de kans groot dat uw functies vereisen dat u toegang hebt tot geheimen of andere soorten gevoelige informatie die u bewaart.
Deze afscheidingen kunnen zijn:
- API-sleutels
- Databasereferenties
- Versleutelingssleutels
- Gevoelige configuratie-instellingen (e-mailadres, gebruikersnamen, foutopsporingsvlaggen, enz.)
- Wachtwoorden
Het veilig bewaren van deze geheimen kan later echter een moeilijke taak blijken te zijn. Dus hier zijn een paar tips voor ontwikkelaars en systeembeheerders:
Functieafhankelijkheden patchen
Denk er altijd aan om de bibliotheken die in de functies worden gebruikt bij te houden en de kwetsbaarheden te markeren door ze continu te bewaken.
Gebruik API-gateways als beveiligingsbuffer
Stel functies niet precies bloot aan gebruikersinteractie. Maak gebruik van de API-gatewaymogelijkheden van uw cloudproviders om een extra beveiligingslaag toe te voegen bovenop uw functie.
Beveilig en verifieer gegevens tijdens verzending
Zorg ervoor dat u HTTPS gebruikt voor een veilig communicatiekanaal en verifieer SSL-certificaten om de externe identiteit te beschermen.
Volg veilige coderingsregels voor applicatiecode.
Omdat er geen servers zijn om te hacken, zullen aanvallers hun aandacht richten op de applicatielaag, dus wees extra voorzichtig om uw code te beschermen.
Beheer geheimen in veilige opslag
Gevoelige informatie kan gemakkelijk worden gelekt en verouderde inloggegevens zijn vatbaar voor regenboogtafelaanvallen als u nalaat om de juiste oplossingen voor geheimbeheer te gebruiken. Vergeet niet om geheimen op te slaan in het applicatiesysteem, omgevingsvariabelen of broncodebeheersysteem.
Sleutelbeheer in de samenwerkende wereld is zeer pijnlijk door onder andere een gebrek aan kennis en middelen. In plaats daarvan sluiten sommige bedrijven de coderingssleutels en andere softwaregeheimen rechtstreeks in de broncode in voor de toepassing die ze gebruikt, waardoor het risico ontstaat dat de geheimen worden onthuld.
Vanwege het gebrek aan te veel kant-en-klare oplossingen, hebben veel bedrijven geprobeerd hun eigen tools voor geheimbeheer te bouwen. Hier zijn er een paar die u kunt gebruiken voor uw vereisten.
Kluis
HashiCorp Vault is een hulpmiddel voor het veilig opslaan en openen van geheimen.
Het biedt een uniforme interface om te geheimen, terwijl strakke toegangscontrole wordt gehandhaafd en een uitgebreid auditlogboek wordt geregistreerd. Het is een tool die gebruikersapplicaties en -bases beveiligt om de oppervlakte en de aanvalstijd bij een inbreuk te beperken.
Het geeft een API die toegang geeft tot geheimen op basis van beleid. Elke gebruiker van de API moet verifiëren en alleen de geheimen zien waarvoor hij bevoegd is om te bekijken.
Vault versleutelt gegevens met behulp van 256-bits AES met GCM.
Het kan gegevens verzamelen in verschillende backends zoals Amazon DynamoDB, Consul en nog veel meer. Vault ondersteunt loggen naar een lokaal bestand voor auditservices, een Syslog-server of rechtstreeks naar een socket. Vault registreert informatie over de client die heeft gehandeld, het IP-adres van de client, de actie en het tijdstip waarop deze is uitgevoerd
Bij het starten/herstarten moeten altijd een of meer operators de kluis openen. Het werkt voornamelijk met tokens. Elk token wordt gegeven aan een beleid dat de acties en de paden kan beperken. De belangrijkste kenmerken van de Kluis zijn:
- Het codeert en decodeert gegevens zonder deze op te slaan.
- Vault kan on-demand geheimen genereren voor sommige bewerkingen, zoals AWS- of SQL-databases.
- Maakt replicatie over meerdere datacenters mogelijk.
- Vault heeft ingebouwde bescherming voor geheime intrekking.
- Dient als een geheime opslagplaats met toegangscontroledetails.
AWS Secrets Manager
Je verwachtte AWS op deze lijst. Jij niet?
AWS heeft voor elk probleem een oplossing.
Met AWS Secrets Manager kunt u snel databasereferenties, API-sleutels en andere wachtwoorden roteren, beheren en ophalen. Met Secrets Manager kunt u geheimen beveiligen, analyseren en beheren die nodig zijn om toegang te krijgen tot de AWS Cloud-mogelijkheden, op services van derden en on-premises.
Met Secrets Manager kunt u de toegang tot geheimen beheren met behulp van fijnmazige machtigingen. De belangrijkste kenmerken van AWS Secrets Manager zijn:
- Versleutelt in rust zijnde geheimen met behulp van versleutelingssleutels.
- Het decodeert ook het geheim en verzendt het vervolgens veilig via TLS.
- Biedt codevoorbeelden die helpen bij het aanroepen van Secrets Manager-API’s
- Het heeft caching-bibliotheken aan de clientzijde om de beschikbaarheid te verbeteren en de latentie van het gebruik van uw geheimen te verminderen.
- Configureer Amazon VPC-eindpunten (Virtual Private Cloud) om verkeer binnen het AWS-netwerk te houden.
Een sleutelloze kluis
Akeyless Vault is een uniform, end-to-end SaaS-gebaseerd platform voor geheimbeheer, dat alle soorten inloggegevens beschermt, zowel statisch als dynamisch, inclusief certificaatautomatisering en coderingssleutels. Bovendien biedt het een unieke oplossing om externe toegang (zero-trust) tot alle bronnen in legacy-, multi-cloud- en hybride omgevingen te beveiligen.
Akeyless beschermt geheimen en sleutels met behulp van een ingebouwde FIPS 140-2 gecertificeerde en gepatenteerde technologie; het heeft geen kennis van de geheimen en sleutels van zijn klanten.
De belangrijkste kenmerken zijn:
- Wereldwijd beschikbaar, SaaS-gebaseerd platform dat een ingebouwde hoge beschikbaarheid (HA) en noodherstel (DR) biedt door gebruik te maken van cloud-native architectuur bovenop een multiregionale en multicloudservice.
- Geavanceerd geheimbeheer biedt een veilige kluis voor statische en dynamische geheimen zoals wachtwoorden, inloggegevens, API-sleutels, tokens, enz.
- Akeyless Vault maakt provisioning en injectie van alle soorten geheimen voor al uw servers, applicaties en workloads mogelijk, en biedt een breed scala aan plug-ins waarmee u verbinding kunt maken met al uw DevOps- en IT-platforms, zoals CI/CD, configuratiebeheer en orkestratie tools zoals Kubernetes & Docker.
Snelste productietijd omdat:
- SaaS – er is geen implementatie, installatie of onderhoud nodig
- Directe onboarding met automatische migratie van geheimen uit bekende bestaande geheimenrepository’s
Het platform ondersteunt nog twee pijlers:
- Zero-Trust Application Access (AKA Remote Access) door uniforme authenticatie en just-in-time toegangsreferenties te bieden, zodat u de perimeterloze applicaties en infrastructuur kunt beveiligen.
- Met Encryption as-a-Service kunnen klanten gevoelige persoonlijke en zakelijke gegevens beschermen door geavanceerde FIPS 140-2-gecertificeerde encryptie op app-niveau toe te passen.
Keywhiz
Square Keywhiz helpt met infrastructuurgeheimen, GPG-sleutelhangers en databasereferenties, waaronder TLS-certificaten en -sleutels, symmetrische sleutels, API-tokens en SSH-sleutels voor externe services. Keywhiz is een tool voor het omgaan met en delen van geheimen.
De automatisering in Keywhiz stelt ons in staat om de essentiële geheimen voor onze diensten naadloos te verspreiden en in te stellen, wat een consistente en veilige omgeving vereist. De belangrijkste kenmerken van Keywhiz zijn:
- Keywhiz Server biedt JSON API’s voor het verzamelen en beheren van geheimen.
- Het slaat alle geheimen alleen in het geheugen op en komt nooit meer terug op schijf.
- De gebruikersinterface is gemaakt met AngularJS, zodat gebruikers de gebruikersinterface kunnen valideren en gebruiken.
Vertrouweling
Confidant is een open-source tool voor geheimbeheer die gebruiksvriendelijke opslag en toegang tot geheimen veilig onderhoudt. Confidant slaat geheimen op een append-manier op in DynamoDB en genereert een unieke KMS-gegevenssleutel voor elke wijziging van al het geheim, met behulp van Fernet symmetrische geauthenticeerde cryptografie.
Het biedt een AngularJS-webinterface waarmee eindgebruikers geheimen, de vormen van geheimen voor services en het vastleggen van wijzigingen efficiënt kunnen beheren. Enkele van de kenmerken zijn:
- KMS-authenticatie
- Versleuteling in rust van geheimen met versiebeheer
- Een gebruiksvriendelijke webinterface voor het beheren van geheimen
- Genereer tokens die kunnen worden toegepast voor service-naar-service-authenticatie of om gecodeerde berichten tussen services door te geven.
SOPS
Laat me je voorstellen aan SOPS, een ongelooflijke tool die ik onlangs heb ontdekt. Het is een gecodeerde bestandseditor die formaten zoals YAML, JSON, ENV, INI en BINARY ondersteunt. Het beste gedeelte? Het kan uw bestanden versleutelen met behulp van AWS KMS, GCP KMS, Azure Key Vault, leeftijd en PGP.
Nu, hier wordt het interessant. Stel je voor dat je op een machine werkt die geen directe toegang heeft tot coderingssleutels zoals PGP-sleutels. Geen zorgen! SOPS heeft u gedekt met zijn belangrijkste servicefunctie. U kunt SOPS toegang verlenen tot coderingssleutels die zijn opgeslagen op een externe machine door een socket door te sturen. Het is alsof je je eigen draagbare GPG-agent hebt!
SOPS werkt volgens een client-servermodel voor het versleutelen en ontsleutelen van de gegevenssleutel. Standaard voert het een lokale sleutelservice uit binnen het proces. De client stuurt versleutelings- of ontsleutelingsverzoeken naar de sleutelservice met behulp van gRPC en protocolbuffers. Maak je geen zorgen; deze verzoeken bevatten geen cryptografische sleutels, openbaar of privé.
Ik moet benadrukken dat de sleutelserviceverbinding momenteel geen authenticatie of codering heeft. Verificatie en versleuteling van de verbinding op andere manieren, zoals een SSH-tunnel, wordt ten zeerste aanbevolen om de veiligheid te waarborgen.
Maar wacht, er is meer! SOPS kan auditlogboeken genereren om de toegang tot bestanden in uw gecontroleerde omgeving te volgen. Indien ingeschakeld, registreert het decoderingsactiviteit in een PostgreSQL-database, inclusief het tijdstempel, de gebruikersnaam en het gedecodeerde bestand. Best netjes toch?
Bovendien biedt SOPS twee handige commando’s voor het doorgeven van gedecodeerde geheimen aan een nieuw proces: exec-env en exec-file. De eerste injecteert de uitvoer in de omgeving van een kindproces, terwijl de laatste deze opslaat in een tijdelijk bestand.
Vergeet niet dat de bestandsextensie de coderingsmethode bepaalt die door SOPS wordt gebruikt. Als u een bestand in een specifieke indeling versleutelt, zorg er dan voor dat u de oorspronkelijke bestandsextensie behoudt voor ontsleuteling. Het is de gemakkelijkste manier om compatibiliteit te garanderen.
SOPS haalt inspiratie uit tools zoals hiera-eyaml, credstash, sneaker en wachtwoordopslag. Het is een fantastische oplossing die het gedoe van het handmatig beheren van PGP-gecodeerde bestanden elimineert.
Azure Key Vault
Uw applicaties hosten op Azure? Zo ja, dan zou dit een goede keuze zijn.
Met Azure Key Vault kunnen gebruikers alle geheimen (sleutels, certificaten, verbindingsreeksen, wachtwoorden, enz.) voor hun cloudtoepassing op een bepaalde plaats beheren. Het is out-of-the-box geïntegreerd met oorsprong en doel van geheimen in Azure. Toepassingen buiten Azure kunnen er verder gebruik van maken.
U kunt de prestaties ook verbeteren door de latentie van uw cloudapplicaties te verminderen door cryptografische sleutels in de cloud op te slaan in plaats van on-premises.
Azure kan helpen bij het bereiken van vereisten voor gegevensbescherming en naleving.
Docker-geheimen
Met Docker-geheimen kunt u het geheim eenvoudig aan het cluster toevoegen en wordt het alleen gedeeld via wederzijds geverifieerde TLS-verbindingen. Vervolgens worden gegevens bereikt naar het managerknooppunt in Docker-geheimen en worden deze automatisch opgeslagen in de interne Raft-opslag, die ervoor zorgt dat gegevens moeten worden gecodeerd.
Docker-geheimen kunnen eenvoudig worden toegepast om de gegevens te beheren en daardoor over te brengen naar de containers die er toegang toe hebben. Het voorkomt dat de geheimen uitlekken wanneer de applicatie ze gebruikt.
Knox
Knox is ontwikkeld door het sociale-mediaplatform Pinterest om hun probleem op te lossen met het handmatig beheren van sleutels en het bijhouden van een auditspoor. Knox is geschreven in Go en clients communiceren met de Knox-server via een REST API.
Knox gebruikt een vluchtige tijdelijke database voor het opslaan van sleutels. Het codeert de gegevens die in de database zijn opgeslagen met behulp van AES-GCM met een hoofdcoderingssleutel. Knox is ook beschikbaar als Docker-image.
Doppler
Van startups tot ondernemingen, duizenden organisaties gebruiken Doppler om hun geheime en app-configuratie gesynchroniseerd te houden tussen omgevingen, teamleden en apparaten.
Het is niet nodig om geheimen te delen via e-mail, zip-bestanden, git en Slack; laat uw teams samenwerken, zodat ze het onmiddellijk hebben na het toevoegen van het geheim. Doppler geeft u een ontspannen gevoel door het proces te automatiseren en tijd te besparen.
U kunt verwijzingen naar de veelgebruikte geheimen maken, zodat een enkele update met bepaalde tussenpozen al uw werk doet. Gebruik de geheimen in Serverless, Docker of waar dan ook, Doppler werkt met u samen. Wanneer je stack evolueert, blijft deze zoals hij is, waardoor je binnen enkele minuten live kunt gaan.
Doppler CLI weet alles over het ophalen van uw geheimen op basis van uw projectdirectory. Maakt u zich geen zorgen als er iets verandert, u kunt de kapotte wijzigingen eenvoudig terugdraaien met een enkele klik of via CLI en API.
Met Doppler werkt u slimmer in plaats van harder en krijgt u uw software voor geheimbeheer GRATIS. Als je op zoek bent naar meer functies en voordelen, kies dan voor een startpakket voor $ 6/maand/stoel.
Conclusie
Ik hoop dat het bovenstaande u een idee geeft van enkele van de beste software om aanmeldingsreferenties te beheren.
Verken vervolgens oplossingen voor inventarisatie en monitoring van digitale activa.
