Asegure lo que es importante para su negocio.
Hay mucho en lo que pensar al trabajar con contenedores, Kubernetes, la nube y secretos. Debe emplear y relacionar las mejores prácticas en torno a la gestión de acceso e identidad y elegir y llevar a cabo varias herramientas.
Ya sea un desarrollador o un administrador de sistemas profesional, debe dejar en claro que tiene la elección correcta de herramientas para mantener sus entornos seguros. Las aplicaciones necesitan acceso a los datos de configuración para funcionar correctamente. Y aunque la mayoría de los datos de configuración no son confidenciales, algunos deben permanecer confidenciales. Estas cadenas se conocen como secretos.
No me digas que todavía tienes secretos en GitHub.
Bueno, si está creando una aplicación confiable, lo más probable es que sus funciones requieran que acceda a secretos o cualquier otro tipo de información confidencial que esté guardando.
Estos secretos pueden incluir:
- claves API
- Credenciales de la base de datos
- Claves de cifrado
- Los ajustes de configuración confidenciales (dirección de correo electrónico, nombres de usuario, indicadores de depuración, etc.)
- contraseñas
Sin embargo, cuidar estos secretos de forma segura puede resultar más tarde una tarea difícil. Así que aquí hay algunos consejos para desarrolladores y administradores de sistemas:
Tabla de contenido
Dependencias de la función de aplicación de parches
Recuerde siempre rastrear las bibliotecas utilizadas en las funciones y marcar las vulnerabilidades al monitorearlas continuamente.
Emplee puertas de enlace API como un búfer de seguridad
No exponga las funciones precisamente a la interacción del usuario. Aproveche las capacidades de puerta de enlace API de sus proveedores de nube para incluir otra capa de seguridad además de su función.
Asegure y verifique los datos en tránsito
Asegúrese de aprovechar HTTPS para un canal de comunicación seguro y verifique los certificados SSL para proteger la identidad remota.
Siga las reglas de codificación segura para el código de la aplicación.
Sin servidores que piratear, los atacantes se centrarán en la capa de aplicación, así que tenga mucho cuidado para proteger su código.
Administrar secretos en almacenamiento seguro
La información confidencial se puede filtrar fácilmente, y las credenciales desactualizadas son propensas a los ataques de la tabla del arco iris si no se adoptan las soluciones adecuadas de administración de secretos. Recuerde no almacenar secretos en el sistema de la aplicación, las variables de entorno o el sistema de gestión del código fuente.
La gestión de claves en el mundo cooperativo es muy dolorosa debido, entre otras razones, a la falta de conocimientos y recursos. En cambio, algunas empresas incorporan las claves de cifrado y otros secretos de software directamente en el código fuente de la aplicación que los utiliza, lo que presenta el riesgo de exponer los secretos.
Debido a la falta de demasiadas soluciones listas para usar, muchas empresas han buscado crear sus propias herramientas de gestión de secretos. Aquí hay algunos que puede aprovechar para sus necesidades.
Bóveda
HashiCorp Vault es una herramienta para almacenar y acceder a secretos de forma segura.
Proporciona una interfaz unificada para el secreto mientras mantiene un estricto control de acceso y registra un registro de auditoría completo. Es una herramienta que protege las aplicaciones y las bases de los usuarios para limitar el espacio de superficie y el tiempo de ataque en una brecha.
Proporciona una API que permite el acceso a los secretos en función de las políticas. Cualquier usuario de la API debe verificar y solo ver los secretos que está autorizado a ver.
Vault cifra los datos mediante AES de 256 bits con GCM.
Puede acumular datos en varios backends como Amazon DynamoDB, Consul y mucho más. Vault admite el registro en un archivo local para servicios de auditoría, un servidor Syslog o directamente en un socket. Vault registra información sobre el cliente que actuó, la dirección IP del cliente, la acción y a qué hora se realizó
Iniciar/reiniciar siempre involucra a uno o más operadores para abrir la Bóveda. Funciona principalmente con fichas. Cada token se asigna a una política que puede restringir las acciones y las rutas. Las características clave de la Bóveda son:
- Cifra y descifra datos sin almacenarlos.
- Vault puede generar secretos a pedido para algunas operaciones, como bases de datos de AWS o SQL.
- Permite la replicación en varios centros de datos.
- Vault tiene protección integrada para la revocación de secretos.
- Sirve como un depósito secreto con detalles de control de acceso.
Administrador de secretos de AWS
Esperabas AWS en esta lista. ¿No es así?
AWS tiene una solución para cada problema.
AWS Secrets Manager le permite rotar, administrar y recuperar rápidamente las credenciales de la base de datos, las claves de API y otras contraseñas. Con Secrets Manager, puede proteger, analizar y administrar los secretos necesarios para acceder a las capacidades de la nube de AWS, en servicios de terceros y en las instalaciones.
Secrets Manager le permite administrar el acceso a los secretos mediante permisos detallados. Las características clave de AWS Secrets Manager son:
- Cifra los secretos en reposo mediante claves de cifrado.
- Además, descifra el secreto y luego lo transmite de forma segura a través de TLS.
- Proporciona ejemplos de código que ayudan a llamar a las API de Secrets Manager.
- Tiene bibliotecas de almacenamiento en caché del lado del cliente para mejorar la disponibilidad y reducir la latencia del uso de sus secretos.
- Configure puntos finales de Amazon VPC (nube privada virtual) para mantener el tráfico dentro de la red de AWS.
Bóveda sin llave
Akeyless Vault es una plataforma unificada basada en SaaS de gestión de secretos de extremo a extremo, que protege todo tipo de credenciales, tanto estáticas como dinámicas, incluidas la automatización de certificados y las claves de cifrado. Además, proporciona una solución única para asegurar el acceso remoto (confianza cero) a todos los recursos en entornos heredados, multinube e híbridos.
Akeyless protege los secretos y las claves utilizando una tecnología patentada y certificada FIPS 140-2 incorporada; tiene cero conocimiento de los secretos y claves de sus clientes.
Las características clave incluyen:
- Plataforma basada en SaaS disponible a nivel mundial que ofrece alta disponibilidad (HA) y recuperación ante desastres (DR) integradas mediante el aprovechamiento de la arquitectura nativa de la nube además de un servicio multirregional y multinube.
- La gestión avanzada de secretos proporciona una bóveda segura para secretos estáticos y dinámicos, como contraseñas, credenciales, claves de API, tokens, etc.
- Akeyless Vault permite el aprovisionamiento y la inyección de todo tipo de secretos en todos sus servidores, aplicaciones y cargas de trabajo, proporcionando una amplia variedad de complementos que le permiten conectarse a todas sus DevOps y plataformas de TI, como CI/CD, gestión de configuración y orquestación. herramientas como Kubernetes y Docker.
El tiempo de producción más rápido porque:
- SaaS: no es necesario implementar, instalar ni mantener
- Incorporación instantánea con migración automática de secretos desde repositorios de secretos existentes conocidos
La plataforma soporta dos pilares más:
- Acceso a aplicaciones de confianza cero (también conocido como acceso remoto) al proporcionar autenticación unificada y credenciales de acceso justo a tiempo, lo que le permite proteger las aplicaciones y la infraestructura sin perímetro.
- El cifrado como servicio permite a los clientes proteger los datos confidenciales personales y comerciales mediante la aplicación de cifrado avanzado a nivel de aplicación con certificación FIPS 140-2.
genio de las llaves
Square Keywhiz ayuda con los secretos de infraestructura, los llaveros GPG y las credenciales de la base de datos, incluidos los certificados y claves TLS, las claves simétricas, los tokens de API y las claves SSH para servicios externos. Keywhiz es una herramienta para manejar y compartir secretos.
La automatización en Keywhiz nos permite distribuir y configurar sin problemas los secretos esenciales para nuestros servicios, lo que requiere un entorno consistente y seguro. Las características clave de Keywhiz son:
- Keywhiz Server proporciona API JSON para recopilar y administrar secretos.
- Almacena todos los secretos solo en la memoria y nunca se repite en el disco.
- La interfaz de usuario está hecha con AngularJS para que los usuarios puedan validar y usar la interfaz de usuario.
Confidente
Confidant es una herramienta de gestión de secretos de código abierto que mantiene un almacenamiento fácil de usar y el acceso a los secretos de forma segura. Confidant almacena secretos de forma adjunta en DynamoDB y genera una clave de datos KMS única para cada modificación de todo el secreto, utilizando la criptografía autenticada simétrica de Fernet.
Proporciona una interfaz web AngularJS que permite a los usuarios finales administrar de manera eficiente los secretos, las formas de los secretos para los servicios y el registro de cambios. Algunas de las características incluyen:
- Autenticación KMS
- Cifrado en reposo de secretos versionados
- Una interfaz web fácil de usar para administrar secretos
- Genere tokens que se puedan aplicar para la autenticación de servicio a servicio o para pasar mensajes cifrados entre servicios.
POE
Permítanme presentarles SOPS, una herramienta increíble que descubrí recientemente. Es un editor de archivos cifrados que admite formatos como YAML, JSON, ENV, INI y BINARY. ¿La mejor parte? Puede cifrar sus archivos con AWS KMS, GCP KMS, Azure Key Vault, edad y PGP.
Ahora, aquí es donde se pone interesante. Imagine que está trabajando en una máquina que no tiene acceso directo a las claves de cifrado, como las claves PGP. ¡No hay problema! SOPS lo tiene cubierto con su función de servicio clave. Puede otorgar acceso SOPS a las claves de cifrado almacenadas en una máquina remota mediante el reenvío de un socket. ¡Es como tener tu propio Agente GPG portátil!
SOPS opera en un modelo cliente-servidor para cifrar y descifrar la clave de datos. De forma predeterminada, ejecuta un servicio de clave local dentro del proceso. El cliente envía solicitudes de cifrado o descifrado al servicio de claves mediante gRPC y búferes de protocolo. No te preocupes; estas solicitudes no contienen claves criptográficas, públicas o privadas.
Debo enfatizar que la conexión del servicio clave actualmente carece de autenticación o encriptación. Se recomienda encarecidamente autenticar y cifrar la conexión a través de otros medios, como un túnel SSH, para garantizar la seguridad.
¡Pero espera hay mas! SOPS puede generar registros de auditoría para rastrear el acceso a archivos en su entorno controlado. Cuando está habilitado, registra la actividad de descifrado en una base de datos PostgreSQL, incluida la marca de tiempo, el nombre de usuario y el archivo descifrado. Bastante ordenado, ¿verdad?
Además, SOPS ofrece dos comandos útiles para pasar secretos descifrados a un nuevo proceso: exec-env y exec-file. El primero inyecta la salida en el entorno de un proceso secundario, mientras que el segundo lo almacena en un archivo temporal.
Recuerde, la extensión del archivo determina el método de cifrado utilizado por SOPS. Si cifra un archivo en un formato específico, asegúrese de conservar la extensión del archivo original para el descifrado. Es la forma más fácil de garantizar la compatibilidad.
SOPS se inspira en herramientas como hiera-eyaml, credstash, sneaker y el almacén de contraseñas. Es una solución fantástica que elimina la molestia de administrar manualmente los archivos cifrados con PGP.
Almacén de claves de Azure
¿Alojando sus aplicaciones en Azure? Si es así, entonces esta sería una buena opción.
Azure Key Vault permite a los usuarios administrar todos los secretos (claves, certificados, cadenas de conexión, contraseñas, etc.) para su aplicación en la nube en un lugar determinado. Está integrado de fábrica con orígenes y destinos de secretos en Azure. Las aplicaciones fuera de Azure pueden utilizarlo más.
También puede mejorar el rendimiento al reducir la latencia de sus aplicaciones en la nube almacenando claves criptográficas en la nube en lugar de en las instalaciones.
Azure puede ayudar a lograr la protección de datos y los requisitos de cumplimiento.
secretos del estibador
Los secretos de Docker le permiten agregar fácilmente el secreto al clúster y solo se comparte a través de conexiones TLS autenticadas mutuamente. Luego, los datos llegan al nodo del administrador en los secretos de Docker y se guardan automáticamente en el almacén interno de Raft, lo que garantiza que los datos se cifren.
Los secretos de Docker se pueden aplicar fácilmente para administrar los datos y, por lo tanto, transferirlos a los contenedores con acceso a ellos. Evita que los secretos se filtren cuando la aplicación los usa.
knox
Knox, fue desarrollado por la plataforma de redes sociales Pinterest para resolver su problema con la administración manual de claves y el mantenimiento de un registro de auditoría. Knox está escrito en Go y los clientes se comunican con el servidor Knox mediante una API REST.
Knox utiliza una base de datos temporal volátil para almacenar claves. Cifra los datos almacenados en la base de datos utilizando AES-GCM con una clave de cifrado maestra. Knox también está disponible como imagen de Docker.
Doppler
Desde nuevas empresas hasta empresas, miles de organizaciones usan Doppler para mantener sincronizadas sus configuraciones secretas y de aplicaciones en todos los entornos, miembros del equipo y dispositivos.
No es necesario compartir secretos por correo electrónico, archivos zip, git y Slack; permita que sus equipos colaboren para que lo tengan al instante después de agregar el secreto. Doppler le brinda una sensación de relajación al automatizar el proceso y ahorrar tiempo.
Puede crear referencias a los secretos de uso frecuente para que una sola actualización en algunos intervalos haga todo su trabajo. Usa los secretos en Serverless, Docker o en cualquier lugar, Doppler trabaja contigo. Cuando su pila evoluciona, permanece como está, lo que le permite comenzar a funcionar en minutos.
La CLI de Doppler lo sabe todo sobre cómo obtener sus secretos según el directorio de su proyecto. No se preocupe si algo cambia, puede revertir fácilmente las modificaciones rotas con un solo clic o mediante CLI y API.
Con Doppler, trabaje de forma más inteligente en lugar de esforzarse y obtenga su software de gestión de secretos GRATIS. Si busca más características y beneficios, opte por un paquete de inicio a $6/mes/asiento.
Conclusión
Espero que lo anterior le dé una idea sobre algunos de los mejores software para administrar las credenciales de la aplicación.
A continuación, explore las soluciones de monitoreo e inventario de activos digitales.