Sécurisez ce qui compte pour votre entreprise.
Il y a beaucoup à penser lorsque vous travaillez avec des conteneurs, Kubernetes, le cloud et des secrets. Vous devez utiliser et mettre en relation les meilleures pratiques autour de la gestion des identités et des accès et choisir et mettre en œuvre divers outils.
Que vous soyez développeur ou sysadmin professionnel, vous devez indiquer clairement que vous disposez du bon choix d'outils pour assurer la sécurité de vos environnements. Les applications ont besoin d'accéder aux données de configuration en place pour fonctionner correctement. Et bien que la plupart des données de configuration ne soient pas sensibles, certaines doivent rester confidentielles. Ces chaînes sont appelées secrets.
Ne me dis pas que tu as encore secrets dans GitHub.
Eh bien, si vous créez une application fiable, il est probable que vos fonctions vous obligent à accéder à des secrets ou à tout autre type d'informations sensibles que vous conservez.
Ces sécrétions peuvent inclure:
- Clés API
- Informations d'identification de la base de données
- Clés de chiffrement
- Paramètres de configuration sensibles (adresse e-mail, noms d'utilisateur, indicateurs de débogage, etc.)
- mots de passe
Cependant, prendre soin de ces secrets en toute sécurité peut s'avérer plus tard être une tâche difficile. Voici donc quelques conseils pour les développeurs et les administrateurs système :
Corriger les dépendances des fonctions
Rappelez-vous toujours de suivre les bibliothèques utilisées dans les fonctions et de signaler les vulnérabilités en les surveiller en permanence.
Employez les passerelles d'API comme tampon de sécurité
N'exposez pas les fonctions précisément à l'interaction de l'utilisateur. Tirez parti des capacités de passerelle API de vos fournisseurs de cloud pour inclure une autre couche de sécurité en plus de votre fonction.
Sécurisez et vérifiez les données en transit
Assurez-vous d'utiliser HTTPS pour un canal de communication sécurisé et vérifiez les certificats SSL pour protéger l'identité distante.
Suivez les règles de codage sécurisé pour le code d'application.
En l'absence de serveurs à pirater, les attaquants se tourneront vers la couche application, alors faites très attention à protéger votre code.
Gérez les secrets dans un stockage sécurisé
Des informations sensibles peuvent facilement être divulguées et des informations d'identification obsolètes sont susceptibles de attaques de table arc-en-ciel si vous négligez d'adopter des solutions appropriées de gestion des secrets. N'oubliez pas de ne pas stocker de secrets dans le système d'application, les variables d'environnement ou le système de gestion du code source.
La gestion des clés dans le monde de la coopération est très douloureuse en raison, entre autres, d'un manque de connaissances et de ressources. Au lieu de cela, certaines entreprises intègrent les clés de chiffrement et autres secrets logiciels directement dans le code source de l'application qui les utilise, ce qui présente le risque d'exposer les secrets.
En raison du manque de solutions prêtes à l'emploi, de nombreuses entreprises ont cherché à créer leurs propres outils de gestion des secrets. Voici quelques-uns que vous pouvez utiliser pour vos besoins.
Vault
Caveau HashiCorp est un outil pour stocker et accéder en toute sécurité aux secrets.
Il fournit une interface unifiée au secret tout en maintenant un contrôle d'accès strict et en enregistrant un journal d'audit complet. C'est un outil qui sécurise les applications et les bases des utilisateurs pour limiter l'espace de surface et le temps d'attaque en cas de brèche.
Il donne une API qui permet d'accéder aux secrets en fonction de politiques. Tout utilisateur de l'API doit vérifier et ne voir que les secrets qu'il est autorisé à consulter.
Vault chiffre les données à l'aide d'AES 256 bits avec GCM.
Il peut accumuler des données dans divers backends tels qu'Amazon DynamoDB, Consul et bien plus encore. Vault prend en charge la journalisation vers un fichier local pour les services d'audit, un serveur Syslog ou directement vers un socket. Vault enregistre des informations sur le client qui a agi, l'adresse IP du client, l'action et l'heure à laquelle elle a été effectuée
Le démarrage/redémarrage implique toujours un ou plusieurs opérateurs pour desceller le Vault. Cela fonctionne principalement avec des jetons. Chaque jeton est attribué à une politique qui peut contraindre les actions et les chemins. Les principales caractéristiques du coffre-fort sont :
- Il crypte et décrypte les données sans les stocker.
- Vault peut générer des secrets à la demande pour certaines opérations, telles que les bases de données AWS ou SQL.
- Permet la réplication sur plusieurs centres de données.
- Vault dispose d'une protection intégrée pour la révocation secrète.
- Sert de référentiel secret avec des détails de contrôle d'accès.
AWS Secrets Manager
Vous attendiez AWS sur cette liste. N'est-ce pas?
AWS a une solution à chaque problème.
AWS Secrets Manager vous permet de faire pivoter, gérer et récupérer rapidement les informations d'identification de la base de données, les clés API et d'autres mots de passe. À l'aide de Secrets Manager, vous pouvez sécuriser, analyser et gérer les secrets nécessaires pour accéder aux fonctionnalités du cloud AWS, sur des services tiers et sur site.
Secrets Manager vous permet de gérer l'accès aux secrets à l'aide d'autorisations affinées. Les principales fonctionnalités d'AWS Secrets Manager sont:
- Crypte les secrets au repos à l'aide de clés de cryptage.
- En outre, il déchiffre le secret, puis il le transmet en toute sécurité via TLS.
- Fournit des exemples de code qui aident à appeler les API Secrets Manager
- Il dispose de bibliothèques de mise en cache côté client pour améliorer la disponibilité et réduire la latence d'utilisation de vos secrets.
- Configurez les points de terminaison Amazon VPC (Virtual Private Cloud) pour conserver le trafic au sein du réseau AWS.
Akeyless Vault
Caveau sans clé est une plate-forme SaaS de gestion des secrets unifiée de bout en bout, protégeant tous les types d'informations d'identification, à la fois statiques et dynamiques, y compris l'automatisation des certificats et les clés de chiffrement. En outre, il fournit une solution unique pour sécuriser l'accès à distance (zéro confiance) à toutes les ressources dans les environnements hérités, multi-cloud et hybrides.
Akeyless protège les secrets et les clés à l'aide d'une technologie intégrée certifiée et brevetée FIPS 140-2 ; il n'a aucune connaissance des secrets et des clés de ses clients.
Les principales caractéristiques comprennent:
- Plateforme SaaS disponible dans le monde entier qui offre une haute disponibilité (HA) et une reprise après sinistre (DR) intégrées en exploitant une architecture cloud native en plus d'un service multirégional et multicloud.
- La gestion avancée des secrets fournit un coffre-fort sécurisé pour les secrets statiques et dynamiques tels que les mots de passe, les informations d'identification, les clés API, les jetons, etc.
- Akeyless Vault permet le provisionnement et l'injection de tous types de secrets sur tous vos serveurs, applications et charges de travail, en fournissant une grande variété de plugins qui vous permettent de vous connecter à tous vos DevOps et des plates-formes informatiques telles que CI/CD, des outils de gestion de configuration et d'orchestration tels que Kubernetes et Docker.
Délai de production le plus rapide car:
- SaaS - aucun déploiement, installation ou maintenance n'est nécessaire
- Acces onboarding avec migration automatique des secrets à partir de référentiels de secrets existants connus
La plateforme prend en charge deux autres piliers:
- Zero-Trust Application Access (AKA Remote Access) en fournissant une authentification unifiée et des informations d'identification d'accès juste à temps, vous permettant de sécuriser les applications et l'infrastructure sans périmètre.
- Le chiffrement en tant que service permet aux clients de protéger les données personnelles et professionnelles sensibles en appliquant un chiffrement avancé au niveau de l'application certifié FIPS 140-2.
Keywhiz
Keywhiz carré aide avec les secrets d'infrastructure, les trousseaux de clés GPG et les informations d'identification de base de données, y compris les certificats et les clés TLS, les clés symétriques, les jetons d'API et les clés SSH pour les services externes. Keywhiz est un outil de gestion et de partage de secrets.
L'automatisation de Keywhiz nous permet de distribuer et de configurer de manière transparente les secrets essentiels de nos services, ce qui nécessite un environnement cohérent et sécurisé. Les principales caractéristiques de Keywhiz sont:
- Keywhiz Server fournit des API JSON pour la collecte et la gestion des secrets.
- Il stocke tous les secrets en mémoire uniquement et ne se reproduit jamais sur le disque.
- L'interface utilisateur est créée avec AngularJS afin que les utilisateurs puissent valider et utiliser l'interface utilisateur.
Confidant
Confident est un outil de gestion des secrets open source qui maintient un stockage convivial et un accès aux secrets en toute sécurité. Confidant stocke les secrets de manière ajoutée dans DynamoDB et génère une clé de données KMS unique pour chaque modification de tous les secrets, à l'aide de la cryptographie authentifiée symétrique Fernet.
Il fournit une interface Web AngularJS qui permet aux utilisateurs finaux de gérer efficacement les secrets, les formes de secrets des services et l'enregistrement des modifications. Certaines des fonctionnalités incluent:
- Authentification KMS
- Chiffrement au repos des secrets versionnés
- Une interface Web conviviale pour la gestion des secrets
- Générez des jetons qui peuvent être appliqués pour l'authentification de service à service ou pour transmettre des messages chiffrés entre les services.
SOPS
Permettez-moi de vous présenter à POS, un outil incroyable que j'ai récemment découvert. Il s'agit d'un éditeur de fichiers cryptés qui prend en charge des formats tels que YAML, JSON, ENV, INI et BINARY. La meilleure partie? Il peut chiffrer vos fichiers à l'aide d'AWS KMS, GCP KMS, Azure Key Vault, age et PGP.
Maintenant, c'est là que ça devient intéressant. Imaginez que vous travaillez sur une machine qui n'a pas d'accès direct aux clés de chiffrement telles que les clés PGP. Pas de soucis! SOPS vous couvre grâce à sa fonctionnalité de service clé. Vous pouvez accorder l'accès SOPS aux clés de chiffrement stockées sur une machine distante en transférant un socket. C'est comme avoir votre propre agent GPG portable !
SOPS fonctionne sur un modèle client-serveur pour chiffrer et déchiffrer la clé de données. Par défaut, il exécute un service de clé local dans le processus. Le client envoie des demandes de chiffrement ou de déchiffrement au service de clé à l'aide de gRPC et de Protocol Buffers. Ne t'inquiète pas; ces requêtes ne contiennent aucune clé cryptographique, publique ou privée.
Je dois souligner que la connexion au service de clé manque actuellement d'authentification ou de cryptage. L'authentification et le cryptage de la connexion par d'autres moyens, tels qu'un tunnel SSH, sont fortement recommandés pour garantir la sécurité.
Mais attendez, il y a plus ! SOPS peut générer des journaux d'audit pour suivre l'accès aux fichiers dans votre environnement contrôlé. Lorsqu'il est activé, il enregistre l'activité de déchiffrement dans une base de données PostgreSQL, y compris l'horodatage, le nom d'utilisateur et le fichier déchiffré. Plutôt chouette, non ?
De plus, SOPS propose deux commandes pratiques pour transmettre les secrets déchiffrés à un nouveau processus : exec-env et exec-file. Le premier injecte la sortie dans l'environnement d'un processus enfant, tandis que le second la stocke dans un fichier temporaire.
N'oubliez pas que l'extension de fichier détermine la méthode de cryptage utilisée par SOPS. Si vous cryptez un fichier dans un format spécifique, veillez à conserver l'extension de fichier d'origine pour le décryptage. C'est le moyen le plus simple d'assurer la compatibilité.
SOPS s'inspire d'outils tels que hiera-eyaml, credstash, sneaker et password store. C'est une solution fantastique qui élimine les tracas liés à la gestion manuelle des fichiers cryptés avec PGP.
Azure Key Vault
Vous hébergez vos applications sur Azure? Si oui, alors ce serait un bon choix.
Azure Key Vault permet aux utilisateurs de gérer tous les secrets (clés, certificats, chaînes de connexion, mots de passe, etc.) pour leur application cloud à un endroit particulier. Il est intégré prêt à l'emploi avec les origines et les cibles des secrets dans Azure. Les applications en dehors d'Azure peuvent l'utiliser davantage.
Vous pouvez également améliorer les performances en réduisant la latence de vos applications cloud en stockant les clés cryptographiques dans le cloud plutôt que sur site.
Azure peut aider à atteindre les exigences de protection et de conformité des données.
Docker secrets
Secrets Docker vous permettent d'ajouter facilement le secret au cluster, et il n'est partagé que sur des connexions TLS mutuellement authentifiées. Ensuite, les données sont transmises au nœud de gestionnaire dans les secrets Docker, et elles sont automatiquement enregistrées dans le magasin Raft interne, ce qui garantit que les données doivent être chiffrées.
Les secrets Docker peuvent être facilement appliqués pour gérer les données et ainsi les transférer vers les conteneurs qui y ont accès. Il empêche les secrets de fuir lorsque l'application les utilise.
Knox
Knox, a été développé par la plateforme de médias sociaux Pinterest pour résoudre son problème de gestion manuelle des clés et de conservation d'une piste d'audit. Knox est écrit en Goet les clients communiquent avec le serveur Knox à l'aide d'une API REST.
Knox utilise une base de données temporaire volatile pour stocker les clés. Il crypte les données stockées dans la base de données en utilisant AES-GCM avec une clé de cryptage principale. Knox est également disponible sous forme d'image Docker.
Doppler
Des startups aux entreprises, des milliers d'organisations utilisent Doppler pour garder leur secret et la configuration de l'application synchronisés entre les environnements, les membres de l'équipe et les appareils.
Il n'est pas nécessaire de partager des secrets par e-mail, fichiers zip, git et Slack ; permettez à vos équipes de collaborer afin qu'elles l'aient instantanément après l'ajout du secret. Doppler vous procure une sensation de détente en automatisant le processus et en vous faisant gagner du temps.
Vous pouvez créer des références aux secrets fréquemment utilisés afin qu'une seule mise à jour à certains intervalles fasse tout votre travail. Utilisez les secrets dans Sans serveur, Docker ou n'importe où, Doppler travaille avec vous. Lorsque votre pile évolue, elle reste telle qu'elle est, vous permettant de passer en direct en quelques minutes.
Doppler CLI sait tout sur la récupération de vos secrets en fonction de votre répertoire de projet. Ne vous inquiétez pas si quelque chose change, vous pouvez facilement annuler les modifications interrompues en un seul clic ou via CLI et API.
Avec Doppler, travaillez plus intelligemment que plus dur et obtenez GRATUITEMENT votre logiciel de gestion des secrets. Si vous recherchez plus de fonctionnalités et d'avantages, optez pour un pack de démarrage à 6 $/mois/siège.
Conclusion
J'espère que ce qui précède vous donne une idée de certains des meilleurs logiciels pour gérer les informations d'identification des applications.
Ensuite, explorez inventaire et surveillance des actifs numériques de Red Lion
