Đảm bảo những gì quan trọng đối với doanh nghiệp của bạn.
Có rất nhiều điều cần phải suy nghĩ khi làm việc với các thùng chứa, Kubernetes, đám mây và các bí mật. Bạn cần áp dụng và kết hợp các phương pháp hay nhất về quản lý danh tính và quyền truy cập, đồng thời chọn và triển khai các công cụ khác nhau.
Cho dù bạn là nhà phát triển hay quản trị viên hệ thống, bạn cần phải làm rõ rằng bạn có lựa chọn công cụ phù hợp để giữ an toàn cho môi trường của mình. Các ứng dụng cần quyền truy cập vào dữ liệu cấu hình để hoạt động bình thường. Và mặc dù hầu hết dữ liệu cấu hình không được bảo mật nhưng một số dữ liệu phải được giữ bí mật. Những chuỗi này được gọi là bí ẩn.
Đừng nói với tôi là bạn vẫn còn bí mật trên GitHub.
Chà, nếu bạn đang xây dựng một ứng dụng đáng tin cậy, rất có thể các tính năng của bạn yêu cầu quyền truy cập vào các bí mật hoặc các loại thông tin nhạy cảm khác mà bạn lưu giữ.
Những bí mật này có thể bao gồm:
- Khóa API
- Thông tin xác thực cơ sở dữ liệu
- Khóa mã hóa
- Cài đặt cấu hình nhạy cảm (địa chỉ email, tên người dùng, cờ gỡ lỗi, v.v.)
- Mật khẩu
Tuy nhiên, việc giữ những bí mật này an toàn có thể là một nhiệm vụ khó khăn sau này. Dưới đây là một số mẹo dành cho nhà phát triển và quản trị viên hệ thống:
Vá các phần phụ thuộc của hàm
Luôn nhớ theo dõi các thư viện được sử dụng trong các hàm và đánh dấu các lỗ hổng bằng cách liên tục theo dõi chúng.
Sử dụng cổng API làm vùng đệm bảo mật
Không hiển thị chính xác chức năng cho sự tương tác của người dùng. Tận dụng Cổng API của nhà cung cấp đám mây để thêm một lớp bảo mật khác cho chức năng của bạn.
Bảo mật và xác minh dữ liệu được truyền
Đảm bảo bạn sử dụng HTTPS làm kênh liên lạc an toàn và xác minh chứng chỉ SSL để bảo vệ danh tính từ xa của bạn.
Tuân theo các quy tắc mã hóa an toàn cho mã ứng dụng.
Vì không có máy chủ để hack nên kẻ tấn công sẽ tập trung vào lớp ứng dụng, vì vậy hãy hết sức cẩn thận để bảo vệ mã của bạn.
Quản lý bí mật của bạn trong một bộ lưu trữ an toàn
Thông tin nhạy cảm có thể dễ dàng bị rò rỉ và thông tin xác thực lỗi thời dễ bị tấn công bởi Rainbow Table nếu bỏ qua việc quản lý bí mật thích hợp. Hãy nhớ đừng giữ bí mật trong hệ thống ứng dụng, biến môi trường hoặc hệ thống quản lý mã nguồn.
Việc quản lý chủ chốt trong thế giới hợp tác là rất khó khăn, trong số những nguyên nhân khác, do thiếu kiến thức và nguồn lực. Thay vào đó, một số công ty nhúng trực tiếp các khóa mã hóa và các bí mật phần mềm khác vào mã nguồn của ứng dụng sử dụng chúng, khiến các bí mật đó gặp rủi ro.
Do thiếu các giải pháp làm sẵn nên nhiều công ty đã cố gắng xây dựng các công cụ quản lý bí mật của riêng mình. Dưới đây là một số mà bạn có thể sử dụng cho yêu cầu của bạn.
Kho tiền
HashiCorp Vault là một công cụ lưu trữ và truy cập bí mật một cách an toàn.
Cung cấp giao diện thống nhất để bảo mật trong khi vẫn duy trì các biện pháp kiểm soát truy cập nghiêm ngặt và ghi lại nhật ký kiểm tra mở rộng. Nó là một công cụ bảo mật các ứng dụng và cơ sở người dùng nhằm hạn chế bề mặt và thời gian tấn công trong trường hợp vi phạm.
Nó cung cấp cho bạn một API cho phép truy cập các bí mật dựa trên chính sách. Mỗi người dùng API phải xác minh và chỉ xem những bí mật mà họ được phép xem.
Vault mã hóa dữ liệu bằng AES 256-bit với GCM.
Nó có thể thu thập dữ liệu ở nhiều back-end khác nhau như Amazon DynamoDB, Lãnh sự và nhiều hơn nữa. Vault hỗ trợ ghi nhật ký vào tệp cục bộ cho các dịch vụ kiểm tra, máy chủ Syslog hoặc trực tiếp vào ổ cắm. Vault ghi lại thông tin về khách hàng đã thực hiện hành động, địa chỉ IP của khách hàng, hành động đó và thời điểm hành động được thực hiện
Khởi động/khởi động lại luôn liên quan đến một hoặc nhiều người vận hành mở Vault. Nó chủ yếu hoạt động với token. Mỗi mã thông báo được liên kết với một chính sách có thể hạn chế các hành động và đường dẫn. Các tính năng chính của Vault là:
- Nó mã hóa và giải mã dữ liệu mà không lưu trữ nó.
- Vault có thể tạo dữ liệu bí mật cho một số hoạt động nhất định theo yêu cầu, chẳng hạn như cơ sở dữ liệu AWS hoặc SQL.
- Cho phép sao chép trên nhiều trung tâm dữ liệu.
- Vault có tính năng bảo vệ thu hồi bí mật được tích hợp sẵn.
- Nó phục vụ như một kho lưu trữ bí mật với các chi tiết kiểm soát truy cập.
Trình quản lý bí mật AWS
Bạn đã mong đợi AWS trong danh sách này. ĐÚNG VẬY?
AWS có giải pháp cho mọi vấn đề.
AWS Secrets Manager cho phép bạn nhanh chóng xoay vòng, quản lý và truy xuất thông tin xác thực cơ sở dữ liệu, khóa API và các mật khẩu khác. Với Secrets Manager, bạn có thể bảo mật, phân tích và quản lý các bí mật cần thiết để truy cập các chức năng của Đám mây AWS, trong các dịch vụ của bên thứ ba và tại chỗ.
Trình quản lý bí mật cho phép bạn quản lý quyền truy cập vào các bí mật với các quyền chi tiết. Các tính năng chính của AWS Secrets Manager là:
- Mã hóa dữ liệu bí mật ở phần còn lại bằng khóa mã hóa.
- Ngoài ra, nó giải mã bí mật và sau đó truyền nó một cách an toàn qua TLS.
- Cung cấp các ví dụ về mã để giúp bạn gọi API Trình quản lý bí mật
- Nó có các thư viện bộ nhớ đệm phía máy khách để cải thiện khả năng truy cập và giảm độ trễ khi sử dụng bí mật của bạn.
- Định cấu hình điểm cuối Amazon VPC (Đám mây riêng ảo) để duy trì lưu lượng truy cập trên mạng AWS.
Một căn hầm không có chìa khóa
Akeyless Vault là một nền tảng quản lý bí mật dựa trên SaaS end-to-end thống nhất, bảo vệ tất cả các loại thông tin xác thực, cả tĩnh và động, bao gồm tự động hóa chứng chỉ và khóa mã hóa. Ngoài ra, nó còn cung cấp một giải pháp độc đáo để truy cập từ xa an toàn (không tin cậy) vào tất cả các tài nguyên trong môi trường cũ, nhiều đám mây và kết hợp.
Akeyless bảo vệ bí mật và chìa khóa của bạn bằng công nghệ tích hợp sẵn, được chứng nhận FIPS 140 và được cấp bằng sáng chế2; anh ta không biết gì về bí mật và chìa khóa của khách hàng.
Các tính năng chính bao gồm:
- Một nền tảng dựa trên SaaS có sẵn trên toàn cầu, cung cấp tính sẵn sàng cao (HA) và khả năng khắc phục thảm họa (DR) tích hợp bằng cách tận dụng kiến trúc đám mây gốc kết hợp với dịch vụ đa vùng, nhiều đám mây.
- Quản lý bí mật nâng cao đảm bảo lưu trữ an toàn các bí mật tĩnh và động như mật khẩu, thông tin xác thực, khóa API, mã thông báo, v.v.
- Akeyless Vault cho phép bạn chia sẻ và đưa tất cả các loại bí mật vào tất cả máy chủ, ứng dụng và khối lượng công việc bằng cách cung cấp nhiều loại plugin cho phép bạn kết nối với tất cả các nền tảng DevOps và CNTT như CI/CD, quản lý cấu hình và các công cụ điều phối như Kubernetes và Docker.
Thời gian sản xuất ngắn nhất vì:
- SaaS – Không cần triển khai, cài đặt hoặc bảo trì
- Triển khai ngay lập tức bằng cách tự động di chuyển các bí mật từ các kho lưu trữ bí mật hiện có đã biết
Nền tảng hỗ trợ thêm hai trụ cột:
- Quyền truy cập ứng dụng không tin cậy (còn được gọi là truy cập từ xa) với xác thực thống nhất và thông tin xác thực truy cập đúng lúc để bảo mật các ứng dụng và cơ sở hạ tầng không biên giới.
- Mã hóa dưới dạng Dịch vụ cho phép khách hàng bảo vệ dữ liệu cá nhân và dữ liệu doanh nghiệp nhạy cảm bằng cách áp dụng mã hóa cấp ứng dụng nâng cao được chứng nhận FIPS 140.2.
Tiếng chìa khóa
Square Keywhiz hỗ trợ các bí mật về cơ sở hạ tầng, móc khóa GPG và thông tin xác thực cơ sở dữ liệu, bao gồm chứng chỉ và khóa TLS, khóa đối xứng, mã thông báo API và khóa SSH cho các dịch vụ bên ngoài. Keywhiz là công cụ xử lý và chia sẻ bí mật.
Tính năng tự động hóa tại Keywhiz cho phép chúng tôi phân phối và định cấu hình liền mạch các bí mật chính của dịch vụ của mình, điều này đòi hỏi một môi trường nhất quán và an toàn. Các tính năng chính của Keywhiz là:
- Máy chủ Keywhiz cung cấp API JSON để thu thập và quản lý bí mật.
- Nó chỉ lưu trữ tất cả bí mật trong bộ nhớ và không bao giờ được ghi lại vào đĩa.
- Giao diện người dùng được tạo bằng AngularJS để người dùng có thể xác thực và tương tác với giao diện người dùng.
Người được ủy thác
Confidant là một công cụ quản lý bí mật nguồn mở cung cấp khả năng lưu trữ thân thiện với người dùng và quyền truy cập an toàn vào các bí mật. Confidant lưu trữ các bí mật như có trong DynamoDB và tạo khóa dữ liệu KMS duy nhất cho mỗi lần sửa đổi tất cả bí mật bằng cách sử dụng mật mã xác thực Fernet đối xứng.
Nó cung cấp giao diện web AngularJS cung cấp cho người dùng cuối khả năng quản lý hiệu quả các bí mật, các dạng bí mật đối với dịch vụ và ghi lại các thay đổi. Một số tính năng bao gồm:
- Xác thực KMS
- Mã hóa các bí mật được phiên bản ở phần còn lại
- Giao diện web thân thiện với người dùng để quản lý bí mật
- Tạo mã thông báo có thể được sử dụng để xác thực dịch vụ với dịch vụ hoặc để chuyển tin nhắn được mã hóa giữa các dịch vụ.
quy định
Hãy để tôi giới thiệu với bạn về SOPS, một công cụ tuyệt vời mà tôi mới phát hiện ra gần đây. Nó là trình chỉnh sửa tệp được mã hóa hỗ trợ các định dạng như YAML, JSON, ENV, INI và BINARY. phần tốt nhất? Nó có thể mã hóa các tệp của bạn bằng AWS KMS, GCP KMS, Azure Key Vault, Age và PGP.
Bây giờ, đây là nơi nó trở nên thú vị. Hãy tưởng tượng bạn đang làm việc trên một máy tính không có quyền truy cập trực tiếp vào các khóa mã hóa như khóa PGP. Đừng lo lắng! SOPS cung cấp khả năng bảo vệ bằng chức năng dịch vụ chính của nó. Bạn có thể cấp quyền truy cập SOPS vào các khóa mã hóa được lưu trữ trên máy từ xa bằng cách chuyển hướng ổ cắm. Nó giống như có đại lý GPG di động của riêng bạn!
SOPS hoạt động theo mô hình máy khách-máy chủ để mã hóa và giải mã khóa dữ liệu. Theo mặc định, nó khởi động dịch vụ khóa cục bộ như một phần của quy trình. Máy khách gửi yêu cầu mã hóa hoặc giải mã đến dịch vụ khóa bằng cách sử dụng bộ đệm và giao thức gRPC. Đừng lo lắng; những yêu cầu này không chứa bất kỳ khóa mật mã nào, công khai hay riêng tư.
Tôi phải chỉ ra rằng kết nối dịch vụ khóa hiện không có xác thực hoặc mã hóa. Việc xác thực và mã hóa kết nối của bạn thông qua các phương tiện khác như đường hầm SSH rất được khuyến khích để bảo mật.
Nhưng xin chờ chút nữa! SOPS có thể tạo nhật ký kiểm tra để theo dõi quyền truy cập tệp trong môi trường được kiểm soát. Khi được bật, nó ghi lại hoạt động giải mã trong cơ sở dữ liệu PostgreSQL, bao gồm dấu thời gian, tên người dùng và tệp được giải mã. Khá gọn gàng phải không?
Ngoài ra, SOPS còn cung cấp hai lệnh hữu ích để chuyển các bí mật đã được giải mã sang một quy trình mới: exec-env và exec-file. Cái trước đưa đầu ra vào môi trường tiến trình con, trong khi cái sau lưu trữ nó trong một tệp tạm thời.
Lưu ý rằng phần mở rộng tệp xác định phương thức mã hóa được SOPS sử dụng. Nếu bạn đang mã hóa tệp ở một định dạng cụ thể, hãy đảm bảo giữ lại phần mở rộng tệp gốc để giải mã. Đây là cách dễ nhất để đảm bảo tính tương thích.
SOPS lấy cảm hứng từ các công cụ như hiera-eyaml, credstash, sneaker và kho mật khẩu. Đây là một giải pháp tuyệt vời giúp loại bỏ nhu cầu quản lý các tệp được mã hóa PGP theo cách thủ công.
Kho khóa Azure
Lưu trữ ứng dụng của bạn trên Azure? Nếu vậy thì đó sẽ là một lựa chọn tốt.
Azure Key Vault cho phép người dùng quản lý tất cả bí mật (khóa, chứng chỉ, chuỗi kết nối, mật khẩu, v.v.) cho ứng dụng đám mây của họ ở một vị trí cụ thể. Nó được tích hợp ngay lập tức với các nguồn và mục tiêu bí mật trong Azure. Các ứng dụng bên ngoài Azure có thể tiếp tục sử dụng nó.
Bạn cũng có thể cải thiện hiệu suất bằng cách giảm độ trễ của ứng dụng đám mây bằng cách lưu trữ khóa mật mã trên đám mây thay vì cục bộ.
Azure có thể giúp bạn đáp ứng các yêu cầu tuân thủ và bảo vệ dữ liệu của bạn.
Bí mật của Docker
Bí mật của Docker cho phép bạn dễ dàng thêm bí mật vào một cụm và nó chỉ được chia sẻ qua các kết nối TLS được xác thực lẫn nhau. Sau đó, dữ liệu sẽ đến nút quản lý trong các bí mật của Docker và tự động ghi vào bộ nhớ trong của Raft, điều này đảm bảo rằng dữ liệu phải được mã hóa.
Bí mật của Docker có thể dễ dàng được sử dụng để quản lý dữ liệu và do đó di chuyển nó đến các vùng chứa có thể truy cập được. Ngăn chặn bí mật bị rò rỉ khi ứng dụng sử dụng chúng.
Knox
Knox được phát triển bởi một nền tảng truyền thông xã hội Pinterestđể giải quyết vấn đề của họ với việc quản lý khóa thủ công và duy trì dấu vết kiểm tra. Knox được viết bằng Go và khách hàng giao tiếp với máy chủ Knox bằng API REST.
Knox sử dụng cơ sở dữ liệu tạm thời dễ thay đổi để lưu trữ khóa. Mã hóa dữ liệu được lưu trữ trong cơ sở dữ liệu bằng AES-GCM bằng khóa mã hóa chính. Knox cũng có sẵn dưới dạng hình ảnh Docker.
Doppler
Hàng nghìn tổ chức, từ công ty khởi nghiệp đến doanh nghiệp, sử dụng Doppler để duy trì dữ liệu nhạy cảm và đồng bộ hóa cấu hình ứng dụng giữa các môi trường, thành viên nhóm và thiết bị.
Không cần chia sẻ bí mật qua email, tệp zip, git và Slack; hãy để các nhóm của bạn làm việc cùng nhau để họ có được nó ngay khi bí mật được thêm vào. Doppler mang lại cảm giác thư giãn, tự động hóa quá trình và tiết kiệm thời gian.
Bạn có thể tạo tham chiếu đến các bí mật thường được sử dụng để một bản cập nhật vào những khoảng thời gian nhất định sẽ thực hiện tất cả công việc của bạn. Sử dụng bí mật trong Serverless, Docker hoặc bất cứ nơi nào Doppler làm việc với bạn. Khi ngăn xếp của bạn phát triển, nó vẫn giữ nguyên như cũ, cho phép bạn bắt đầu phát trực tuyến sau vài phút.
Doppler CLI biết tất cả về việc tìm nạp bí mật dựa trên thư mục dự án của bạn. Đừng lo lắng nếu có điều gì đó thay đổi, bạn có thể dễ dàng hoàn tác các sửa đổi bị hỏng chỉ bằng một cú nhấp chuột hoặc thông qua CLI và API.
Làm việc thông minh hơn và chăm chỉ hơn với Doppler và nhận phần mềm quản lý bí mật MIỄN PHÍ. Nếu bạn đang tìm kiếm nhiều tính năng và lợi ích hơn, hãy tận dụng gói khởi đầu với mức giá 6 USD/tháng/địa điểm.
Ứng dụng
Hy vọng những điều trên cung cấp cho bạn ý tưởng về một trong những phần mềm quản lý thông tin xác thực ứng dụng tốt nhất hiện có.
Sau đó khám phá các giải pháp giám sát và kiểm kê tài sản kỹ thuật số.
