Rahasia Dinamis dan Penyewaan

Rahasia statis dibuat sekali dan digunakan kembali tanpa batas waktu—misalnya kata sandi basis data yang sama digunakan bersama oleh sepuluh layanan selama bertahun-tahun. Rahasia statis adalah bawaan sekaligus masalah: masa berlakunya panjang, dibagikan secara luas, dan sulit dirotasi.

Rahasia dinamis dibuat sesuai permintaan, unik untuk satu konsumen, dan kedaluwarsa secara otomatis. Alih-alih menyimpan kata sandi, Vault membuat kredensial baru setiap kali ada permintaan.

Perubahan tunggal ini mengatasi bagian tersulit dari pengelolaan rahasia: rotasi menjadi otomatis, dan radius dampak dari kebocoran apa pun menyusut hingga mendekati nol.

Rahasia dinamis mengharuskan Vault memiliki akses istimewa ke sistem tujuan. Alur untuk basis data adalah sebagai berikut:

• Administrator mengonfigurasi Vault dengan kredensial basis data administrator utama dan templat pembuatan.
• Aplikasi melakukan autentikasi dan meminta kredensial.
• Vault menjalankan CREATE USER pada basis data, lalu mengembalikan nama pengguna dan kata sandi baru.
• Ketika masa sewa berakhir, Vault secara otomatis menjalankan DROP USER.

Aplikasi tidak pernah melihat kata sandi yang berlaku lama—aplikasi menerima kata sandi sementara yang terikat pada identitas dan masa sewanya.

Ketika aplikasi memerlukan akses ke basis data, aplikasi meminta kredensial kepada Vault. Responsnya adalah nama pengguna dan kata sandi unik yang baru dibuat, serta masa sewa yang menjelaskan berapa lama kredensial tersebut berlaku.

Setiap konsumen mendapatkan kredensialnya sendiri. Jika dua pod dari layanan yang sama dimulai, keduanya menerima nama pengguna yang berbeda, sehingga audit per konsumen dapat dilakukan pada tingkat basis data.

Masa sewa adalah kontrak yang menyatakan berapa lama rahasia ini berlaku. Setiap rahasia dinamis memiliki TTL (masa berlaku) dan TTL maksimum opsional.

• default_ttl berapa lama kredensial berlaku sebelum kedaluwarsa.
• max_ttl batas mutlak, bahkan setelah diperpanjang.

Ketika masa sewa berakhir, Vault mencabut kredensial tersebut dengan menghapus pengguna basis data secara aktif. Kedaluwarsa bukan sekadar penanda; kedaluwarsa memicu pembersihan nyata. Inilah yang membuat rahasia dinamis yang bocor dapat pulih sendiri: kredensial yang dicuri tidak berguna dalam jangka waktu TTL.

Aplikasi yang berjalan lama dan melampaui masa sewa harus memperpanjang masa sewa tersebut sebelum berakhir. Perpanjangan meningkatkan TTL hingga TTL maksimum; setelah itu, aplikasi harus meminta kredensial baru.

Operator juga dapat mencabut masa sewa seketika—sebagai tombol pemutus selama terjadi insiden. Pencabutan masa sewa langsung menghapus kredensial yang mendasarinya, terlepas dari sisa TTL.

Anda bahkan dapat mencabut semua masa sewa di bawah suatu awalan untuk segera memutus seluruh layanan atau lingkungan.

Rahasia dinamis tidak terbatas pada basis data. Vault dan alat serupa dapat membuat kredensial berumur pendek untuk banyak sistem:

• IAM cloud kunci akses AWS/GCP/Azure sementara melalui pengambilan peran bergaya STS.
• SSH sertifikat SSH bertanda tangan dan berumur pendek sebagai pengganti kunci statis.
• PKI/TLS sertifikat yang diterbitkan sesuai permintaan dengan masa berlaku singkat.
• RabbitMQ, MongoDB, Consul kredensial layanan sementara.

Polanya sama di mana pun: minta, gunakan sebentar, lalu kedaluwarsa secara otomatis. Kunci cloud statis yang berlaku lama sering menjadi sumber pelanggaran; kredensial IAM dinamis menghilangkannya.

Pertimbangkan kredensial yang bocor dalam setiap model:

• Statis kata sandi tetap berlaku sampai seseorang menyadari kebocoran, merotasinya, dan memperbaruinya pada setiap konsumen. Jendela paparan berlangsung berhari-hari atau berbulan-bulan.
• Dinamis kredensial kedaluwarsa dalam jangka waktu TTL-nya (biasanya beberapa menit hingga satu jam) dan cakupannya dibatasi pada satu konsumen dengan izin minimal. Jendela paparan sangat singkat dan kerusakannya terbatas.

Rahasia dinamis mengubah rotasi dari pekerjaan manual yang menyulitkan menjadi sifat otomatis dan berkelanjutan dalam sistem.

Rahasia dinamis sangat kuat, tetapi mengharuskan Vault menyimpan kredensial administrator utama dengan hak istimewa tinggi untuk setiap sistem tujuan tempat Vault dapat membuat pengguna. Hal ini memusatkan risiko pada Vault.

Mitigasi:

• Rotasikan kredensial administrator utama itu sendiri, sehingga Vault pun tidak menyimpan kata sandi administrator asli.
• Batasi cakupan akun administrator utama tepat pada izin yang diperlukan untuk membuat dan menghapus pengguna—tidak lebih.
• Isolasi dan pantau host Vault secara ketat, karena host tersebut kini menjadi target bernilai tinggi.

Vault dapat merotasi kredensial administrator utamanya sendiri, sehingga setelah penyiapan tidak ada manusia yang mengetahuinya.

Aplikasi harus ditulis untuk mengantisipasi perubahan kredensial. Dengan rahasia statis, kode membaca kata sandi sekali saat dimulai. Dengan rahasia dinamis, kode harus:

• Mengambil kredensial dan mencatat TTL masa sewanya.
• Memperpanjang masa sewa, atau mengambil ulang kredensial baru sebelum kedaluwarsa.
• Menyambungkan kembali secara baik ketika kredensial lama dicabut.

Pola yang umum adalah agen pendamping yang menangani siklus hidup masa sewa dan menulis ulang berkas rahasia lokal, sehingga aplikasi cukup memuat ulang konfigurasinya. Kumpulan koneksi juga harus disegarkan agar tidak terus menggunakan kredensial yang sudah kedaluwarsa.

Tidak setiap rahasia dapat dibuat dinamis. Beberapa layanan pihak ketiga menerbitkan satu kunci berumur panjang yang tidak dapat dibuat sesuai permintaan. Untuk rahasia statis ini, terapkan kontrol kompensasi:

• Simpan rahasia tersebut di Vault, jangan pernah di dalam kode.
• Batasi cakupannya pada hak akses paling rendah.
• Rotasikan sesuai jadwal (akan dibahas pada pelajaran berikutnya).
• Pantau penggunaannya untuk menemukan anomali.

Aturan praktisnya: utamakan yang dinamis; jika terpaksa memakai yang statis, rotasi dan audit tanpa henti.

Alur CI/CD adalah kasus penggunaan utama. Secara tradisional, alur ini menyimpan kunci penerapan berumur panjang—target yang sangat menarik. Dengan rahasia dinamis, alur tersebut:

• Melakukan autentikasi ke Vault menggunakan identitas OIDC-nya (misalnya token OIDC GitHub Actions).
• Meminta kredensial cloud berumur pendek yang hanya berlaku selama pekerjaan berlangsung.
• Membiarkan kredensial tersebut kedaluwarsa secara otomatis ketika pekerjaan selesai.

Tidak pernah ada kunci penerapan berumur panjang. Catatan alur yang disusupi membocorkan kredensial yang sudah tidak berlaku saat siapa pun membacanya.

Anda telah mempelajari cara kredensial yang berlaku singkat dan kedaluwarsa otomatis mengubah pengelolaan rahasia.

• Rahasia dinamis dibuat sesuai permintaan, unik untuk setiap konsumen, dan kedaluwarsa otomatis, tidak seperti rahasia statis yang digunakan berulang kali.
• Masa sewa menentukan TTL dan TTL maksimum; saat kedaluwarsa, Vault mencabut kredensial tersebut disertai pembersihan nyata.
• Masa sewa dapat diperpanjang oleh aplikasi yang berjalan lama atau dicabut seketika sebagai tombol pemutus saat terjadi insiden.
• Rahasia dinamis berlaku untuk basis data, IAM cloud, SSH, PKI, dan lainnya—memperkecil radius dampak serta mengotomatiskan rotasi.
• Komprominya adalah adanya kredensial administrator utama di Vault; rotasikan dan batasi cakupannya dengan ketat.
• Aplikasi dan CI/CD harus ditulis untuk menangani kedaluwarsa; utamakan rahasia dinamis dan rotasikan rahasia statis jika tidak dapat dihindari.

Selanjutnya, kita akan membahas rotasi kunci dan cara mendeteksi kebocoran saat kebocoran tersebut berhasil lolos.