Kaip mūsų komanda perduoda tiekėjų kredencialus

„Kaip Agdir naudoja SecretDrop" 2 dalis — serija apie tai, kur agrotechnologijų įmonė ir jos klientai iš tikrųjų dalijasi paslaptimis.

Agdir — tai ne viena integracija, o dešimtys. Vyriausybinės ataskaitos, apskaitos sinchronizavimas, dirvožemio jutiklių tiekėjai, mokėjimai, orų paslaugų teikėjai. Kiekvienas iš jų ateina su savo kredencialais: API raktu, kliento paslaptimi, kartais privačiu raktu ar sertifikatu.

(Pastebėsite, kad nenurodome, kurie tiekėjai susieti su kuriais kredencialais. Viešas tikslus žemėlapis, kuriuos gyvuosius raktus turime kurioms įvardintoms gamybinėms sistemoms, būtų savotiškas saugumo higienos autogolis — šiek tiek keistai atrodytų straipsnyje apie atsargų elgesį su paslaptimis. Praktikuokite tai, ką skelbiate. 😉)

Jie gyvena ten, kur turėtų — paslapčių tvarkytuvėje, aplinkos kintamuosiuose, apsaugoti. Saugojimo problema išspręsta.

Tačiau perdavimo problema — ne.

Kur iš tikrųjų nuteka kredencialai

Kredencialai dažniausiai nenutekai iš saugyklos. Jie nuteka paprastais momentais tarp žmonių:

• Naujas inžinierius prisijungia ir reikia testavimo aplinkos rakto iš tiekėjo, kad galėtų pradėti darbą.
• Kažkas pakeičia dirvožemio jutiklių tiekėjo slaptažodį ir turi perduoti naują komandos nariui, diegiam jungtį.
• Raktas sukonfigūruotas ant kažkieno nešiojamojo kompiuterio ir turi pasiekti kolegą, konfigūruojantį naują aplinką.

Kiekvienu tokiu momentu pagunda yra ta pati: numeskite į Slack DM. „Štai raktas, ištrinkite po perskaitymo." Įklijuokite į bilietą „tik šį kartą."

Tačiau Slack žinutė neištrinama vėliau. Ji išsaugoma, ieškoma ir sinchronizuojama į kiekvieną įrenginį, kurį liečia ta paskyra. „Tik šį kartą" — tai kaip gyvas tiekėjo kredencialas amžinai atsiduria pokalbių istorijoje, kuri išgyvena žmogų, kuris ją išsiuntė.

Ką daro mūsų inžinieriai

Pačiam perdavimui kredencialas keliauja per SecretDrop kaip nuoroda, sunaikinama po perskaitymo:

1. Įklijuokite tiekėjo raktą, paslaptį ar ryšio eilutę į SecretDrop.
2. Išsiųskite vienkartinę nuorodą per Slack ar el. paštu — nuoroda nėra paslaptis.
3. Komandos narys ją atidaro vieną kartą, perneša reikšmę tiesiai į paslapčių tvarkytuvę ar savo aplinką, ir nuoroda sunaikina save.

Kredencialas gyvena lygiai dviejose tinkamose vietose — saugykloje, iš kurios atėjo, ir saugykloje, į kurią eina — ir niekada pokalbyje, kuris jį nešė tarp jų.

Kodėl tai svarbiau integracijų įmonei

Integruojantis su vyriausybinėmis sistemomis ir finansine programine įranga, nutekėjęs tiekėjo kredencialas nėra tik jūsų problema — jis gali atskleisti klientų duomenis ir sugadinti pasitikėjimą su tiekėju, kurio prieigą esate atsakingi. „Vieno rakto, palikto Slack'e" sprogimo spindulys yra daug didesnis, nei atrodo.

Taisyklė, kurią nusistovėjome, paprasta:

Paslapčių tvarkytuvės skirtos saugojimui. Nuorodos, sunaikinamos po perskaitymo, skirtos perkėlimui.

Niekada neleiskite gyvam kredencialui ilsėtis kanale, sukurtame jį prisiminti. Jei jis turi keliauti tarp dviejų žmonių, jis keliauja kaip nuoroda, perskaitoma vieną kartą ir dingstanti.

Išvada

• Saugokite kredencialus paslapčių tvarkytuvėje — visada.
• Perkelkite juos vienkartine nuoroda — niekada pokalbyje, DM ar biliete.
• Pasukite viską, kas kada nors palietė nuolatinį kanalą, tik atsargumo sumetimais.

Saugykla saugo paslaptį ramybės būsenoje. SecretDrop ją saugo perduodant — per vieną rizikingą momentą, kai ji yra atviroje erdvėje.

---

Toliau serijoje: Kaip integracijos partneris mums saugiai išsiuntė privatų raktą.
Anksčiau: Kaip ūkininkas išsiuntė API raktą savo kūrėjui.