Kuidas integratsioonpartner saatis meile privaatse võtme — turvaliselt

Osa 3 sarjast "Kuidas Agdir kasutab SecretDropi" — sari sellest, kus agtechi ettevõte ja selle kliendid tegelikult saladusi jagavad.

Enamasti ei saada sa kunagi privaatset võtit. Võtmepaari mõte on see, et privaatne pool jääb paigale: genereerid selle, registreerid avaliku poole kellegi juures, kes vajab sinu kinnitust, ja privaatne pool ei lahku kunagi sinu masinast.

Kuid aeg-ajalt peab privaatne võti tõesti kahe ettevõtte vahel liikuma. See on lugu ühest sellisest korrast.

Taust

Integratsioonpartner — täppispõllumajanduse ettevõte, kes ehitas Agdiriga kahepoolset andmevoogu — käitas oma API-d vastastikuse TLS-i taga. Tavalised API võtmed ei olnud neile piisavad: ühenduse avamiseks peab helistaja esitama kliendisertifikaadi, mille partner on väljastanud ja mida ta usaldab. See on tugev lahendus ja levinud siis, kui kaks ettevõtet vahetavad tundlikke andmeid masina ja masina vahel.

Et lubada Agdiri konnektoril autentida, genereeris partneri operatsioonimeeskond meile spetsiaalselt kliendisertifikaadi ja selle privaatse võtme. See privaatne võti on mandaat. Ilma selleta ei saa integratsioon ühenduda; sellega saab igaüks meie konnektor nende API-s kehastada.

Nii seisid kaks ettevõtet probleemi ees, millega üksikisikud igapäevaselt kokku puutuvad — ainult panustega kõrgemalt: kuidas toimetada elav privaatne võti nende poolelt meie poolele ilma, et see teel lekiks?

Kuidas see tavaliselt valesti läheb

Vaikimisi B2B integratsioonides on masendavalt hooletud:

• Paki sertifikaat ja võti kokku, saada see meilimanusena.
• Pane paroolilause teise e-kirja ("turvalisuse mõttes").
• Või tilguta mõlemad jagatud piletisse mis tahes tugitööriistas, mis kahte meeskonda ühendab.

Igaüks neist jätab privaatse võtme püsiva koopia süsteemi, mida kumbki ettevõte täielikult ei kontrolli — meiliserverid, varundused, piletitööriista andmebaas, nende postkastid, kes hiljem CC-sse lisatakse. Privaatne võti, mis jõuab e-posti lõime, on privaatne võti, mida ei saa kunagi tõeliselt tagasi saada.

Ja erinevalt salasõnast ei saa seda vaikselt "vahetada" — kliendisertifikaadi tühistamine ja uuesti väljastamine tähendab mõlema ettevõtte üleselt rotatsiooni koordineerimist. Palju parem on mitte lasta sellel üldse lekkida.

Mida me hoopis tegime

Partner saatis võtme läbi SecretDropi:

1. Nad kleepsid privaatse võtme (PEM) ühekordse lingi sisse ja saatsid paroolilause eraldi põleta-pärast-lugemist lingina.
2. Nad jagasid mõlemad lingid meie integratsiooninseneriga tavalise kanali kaudu — e-post sobis, sest link ei ole võti.
3. Meie insener avas iga lingi üks kord, laadis sertifikaadi ja võtme otse meie saladuste haldurit, ja mõlemad lingid hävitasid ennast.

Privaatne võti tegi ühe reisi — nende hoidlast meie hoidlasse — ja ei jätnud koopiat kummagis postkastis, piletis ega vestluses. Kui keegi hiljem selle integratsiooni seadistanud e-posti lõime läbi kaevab, pole seal midagi tundlikku leida.

Järeldus

Kui oled partner, kes peab teisele ettevõttele privaatse võtme, sertifikaadi või mõne elava mandaadi üle andma:

• Ärge kunagi saatke seda e-postiga ega manusena. Manused on kõige püsivam, kõige rohkem edastatav koopia kõigest.
• Saatke see põleta-pärast-lugemist lingina ja saatke iga paroolilause teise, eraldi lingina.
• Kinnita, et saaja avas selle, ja loe üleandmine lõpetatuks — saladus ei eksisteeri enam kusagil edastuse ajal.

Turvalised integratsioonid on ainult nii turvalised kui hetk, mil need seadistatakse. Privaatne võti, mis eksisteeris ainult need mõned sekundid, mis kulus selle hoidlasse laadimiseks, on üks, mida tulevane andmeleke — kummagi poole — ei saa kunagi paljastada.

---

Eelmine sarjas: Kuidas põllumees saatis API tokeni oma arendajale · Kuidas Agdiri meeskond edastab hankijate mandaate.
Seadistades integratsiooni ja pead võtme kahe ettevõtte vahel liigutama? Kasuta SecretDropi — üks lugemine, siis kadunud igaveseks.