Manajemen Rahasia yang Aman dan Variabel Lingkungan

Secret yang ditulis langsung dalam kode — kunci API, kata sandi basis data, kunci privat TLS, dan token OAuth yang disematkan langsung dalam kode sumber — merupakan salah satu kerentanan keamanan yang paling umum dan dapat dicegah. Secret dalam kode sumber terekspos dalam riwayat version control (bahkan setelah dihapus), terlihat oleh semua pengembang yang memiliki akses ke repositori, dan sering bocor ketika repositori secara tidak sengaja dibuat publik. Alat seperti GitGuardian dan truffleHog terus-menerus memindai Secret yang bocor pada platform seperti GitHub.

Variabel Environment menghapus Secret dari kode sumber dengan menyisipkannya saat runtime melalui OS host atau orkestrator container. Application membaca os.environ['DB_PASSWORD'], bukan nilai yang ditulis langsung dalam kode. Cara ini lebih baik daripada menulis Secret langsung dalam kode, tetapi variabel Environment memiliki kelemahan: variabel tersebut muncul dalam daftar proses, diwariskan ke proses anak, sering berakhir dalam dump kerusakan dan log debug, serta memerlukan Rotation manual. Variabel Environment sesuai untuk pengembangan, tetapi tidak cukup jika digunakan sendirian untuk pengelolaan Secret di production.

Secrets manager adalah sistem yang dirancang khusus untuk menyimpan, melakukan Rotation, dan mengaudit akses ke Secret. Solusi terkemuka meliputi HashiCorp Vault (sumber terbuka dan enterprise), AWS Secrets Manager, Azure Key Vault, serta Google Cloud Secret Manager. Application melakukan autentikasi ke secrets manager saat runtime, mengambil Secret, lalu menggunakannya — tidak ada Secret yang pernah disimpan di disk atau dalam variabel Environment. Semua akses dicatat, sehingga memungkinkan audit mengenai siapa yang mengakses Secret tertentu dan kapan.

Salah satu keunggulan secrets manager dibandingkan variabel Environment adalah Rotation otomatis. AWS Secrets Manager dapat melakukan Rotation otomatis terhadap kata sandi basis data RDS sesuai jadwal (misalnya, setiap 30 hari) tanpa memerlukan penerapan ulang application. Secrets manager memperbarui kata sandi dalam basis data dan memperbarui Secret yang tersimpan secara bersamaan. Application yang mengambil Secret pada setiap koneksi akan otomatis menerima kredensial baru. Hal ini menghapus praktik umum penggunaan kata sandi akun layanan 'permanen' yang tidak pernah dirotasi.

Garis pertahanan pertama terhadap secret yang ter-commit adalah file .gitignore yang dipelihara dengan baik dan mengecualikan semua file yang mungkin berisi secret. Namun, .gitignore hanya mencegah commit di masa mendatang — secret yang sudah ter-commit tetap berada dalam riwayat git. Jika secret tidak sengaja ter-commit, secret tersebut harus segera dianggap telah bocor: rotasikan secret, lalu bila perlu gunakan alat seperti git filter-repo untuk menulis ulang riwayat (wajib untuk kepatuhan, tetapi tidak cukup jika dilakukan sendirian karena secret tersebut mungkin sudah diekstrak).

File Infrastructure as Code (IaC) (Terraform, CloudFormation, manifes Kubernetes) sering berisi secret — string koneksi basis data, kunci API dalam deklarasi variabel lingkungan, dan sertifikat TLS. File-file ini sering di-commit ke kendali versi sehingga menimbulkan risiko terbukanya secret. Solusinya mencakup secret dinamis Vault (Vault menghasilkan kredensial berumur singkat khusus untuk setiap proses Terraform), Secret Kubernetes (disimpan di etcd dan harus dienkripsi saat tersimpan), serta external-secrets-operator yang menyinkronkan secret dari pengelola secret ke Kubernetes saat runtime.

Setiap aplikasi atau layanan seharusnya hanya mengakses secret yang benar-benar diperlukan — prinsip hak istimewa minimum yang diterapkan pada secret. Aplikasi web memerlukan kata sandi basis data, tetapi tidak memerlukan kunci privat CA. Tugas pelaporan memerlukan kredensial basis data hanya-baca, bukan akses tulis. Pengelola secret menegakkan hal ini melalui kebijakan akses yang menentukan identitas mana (peran IAM, akun layanan, AppRoles) yang dapat membaca secret mana, dengan seluruh akses dicatat untuk keperluan audit.

Secret dinamis dibuat sesuai permintaan untuk peminta tertentu dan kedaluwarsa secara otomatis. Vault dapat menghasilkan kredensial basis data sementara yang berlaku selama 1 jam dan dikaitkan dengan layanan tertentu yang memintanya. Setelah kedaluwarsa, kredensial tersebut otomatis dicabut oleh basis data. Pendekatan ini berarti tidak ada kredensial statis berumur panjang yang dapat dicuri — bahkan jika penyerang menangkap kredensial dinamis, kredensial itu segera kedaluwarsa dan terikat pada identitas peminta dalam log audit.

Pipeline CI/CD sering memerlukan secret — kredensial penyedia cloud untuk deployment, token registry Docker, dan kunci penandatanganan. Never simpan secret dalam skrip pipeline atau file konfigurasi. Sebagai gantinya, gunakan penyimpanan secret bawaan platform pipeline (GitHub Actions Secrets, GitLab CI Variables, Jenkins Credentials Store) atau ambil secret dari vault pusat saat runtime menggunakan identitas mesin. Tandai variabel secret sebagai tersamarkan dalam log untuk mencegah terbukanya secret secara tidak sengaja dalam keluaran build.

Pengelola secret menyediakan log audit yang komprehensif untuk setiap peristiwa akses secret: identitas mana yang mengakses secret mana, dari IP mana, pada waktu kapan, dan apakah akses tersebut berhasil atau ditolak. Log ini sangat penting untuk kepatuhan (SOC 2, PCI-DSS) dan respons insiden. Saat sebuah kredensial diduga telah bocor, log audit menunjukkan sistem mana yang mengaksesnya dan kapan — sehingga memungkinkan identifikasi cepat terhadap sistem yang mungkin terdampak serta keputusan pengendalian.

Hook pra-commit adalah skrip yang berjalan otomatis sebelum setiap commit git diselesaikan, sehingga memungkinkan pendeteksian secret sebelum secret masuk ke riwayat kendali versi. Alat seperti detect-secrets (Yelp), GitLeaks, dan git-secrets (AWS) terintegrasi sebagai hook pra-commit dan memindai file yang telah dipentaskan untuk mencari pola yang cocok dengan kunci API, string koneksi, kunci privat, dan token JWT. Jika secret terdeteksi, commit ditolak dan pengembang diminta menghapus kredensial tersebut. kerangka kerja pre-commit memudahkan penambahan dan pembagian konfigurasi hook di seluruh tim.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: secret yang ditulis secara hardcode dalam kode sumber harus dihilangkan dan diganti dengan pengelola secret seperti Vault atau AWS Secrets Manager, rotasi otomatis menghapus kredensial berumur panjang yang dapat disalahgunakan penyerang bahkan setelah kompromi awal, dan secret dinamis serta kebijakan akses dengan hak istimewa minimum meminimalkan nilai setiap secret yang terbuka. Berikutnya kita membahas keamanan dependencies dan analisis komposisi perangkat lunak.