Brankas dan Penyimpanan Rahasia

Penyimpanan secret (atau brankas) adalah layanan terpusat yang diperkuat keamanannya dan tugasnya hanya menyimpan, mengendalikan, serta mengaudit akses ke secret. Layanan ini menggantikan berkas dan variabel lingkungan yang tersebar dan menyebabkan penyebaran secret.

Pengelola secret yang baik menyediakan empat kemampuan inti:

• Penyimpanan terpusat satu sumber kebenaran yang menjadi acuan.
• Kontrol akses kebijakan terperinci mengenai siapa dan apa yang dapat membaca setiap secret.
• Pencatatan audit catatan setiap akses untuk respons insiden.
• Enkripsi secret dienkripsi saat tersimpan dan saat dikirim.

Contohnya mencakup HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, dan GCP Secret Manager.

HashiCorp Vault adalah pengelola secret sumber terbuka yang populer. Layanan ini mengatur fungsionalitas ke dalam mesin secret yang dapat dipasang pada jalur tertentu.

• Mesin KV menyimpan secret statis dalam pasangan kunci-nilai.
• Mesin basis data menghasilkan kredensial basis data yang dinamis dan berumur pendek.
• Mesin PKI menerbitkan sertifikat TLS sesuai permintaan.
• Mesin Transit menyediakan enkripsi sebagai layanan tanpa mengekspos kunci.

Anda berinteraksi dengan Vault melalui antarmuka pemrograman HTTP atau CLI. Setiap jalur diatur oleh kebijakan yang menentukan siapa yang boleh membaca atau menulis di jalur tersebut.

Vault melindungi datanya dengan mekanisme penyegelan/pembukaan segel. Saat Vault dimulai, statusnya tersegel; Vault mengetahui lokasi data terenkripsi, tetapi tidak dapat mendekripsinya.

Kunci utama yang mendekripsi penyimpanan itu sendiri dienkripsi oleh kunci pembuka segel. Dengan menggunakan Pembagian Secret Shamir, kunci pembuka segel tersebut dipecah menjadi beberapa bagian yang dibagikan kepada operator yang berbeda.

Ambang batas yang dapat dikonfigurasi (misalnya 3 dari 5 bagian) harus diberikan untuk menyusun kembali kunci dan membuka segel Vault. Tidak ada satu orang pun yang dapat membukanya sendirian, sehingga hal ini melindungi dari penyusupan oleh orang dalam.

Sebelum membaca secret apa pun, klien harus melakukan autentikasi untuk memperoleh tanda autentikasi. Vault mendukung banyak metode autentikasi yang disesuaikan dengan berbagai identitas:

• AppRole untuk aplikasi dan sistem integrasi berkelanjutan (ID peran + ID secret).
• Kubernetes menggunakan tanda autentikasi akun layanan pod.
• AWS/GCP/Azure IAM mempercayai identitas platform komputasi awan.
• OIDC/LDAP untuk pengguna manusia melalui SSO.

Prinsip utamanya: identitas berasal dari platform, bukan dari kata sandi yang berumur panjang. Pod Kubernetes membuktikan identitasnya menggunakan tanda autentikasi akun layanannya sendiri; tidak ada secret awal yang dapat bocor.

Autentikasi membuktikan identitas; kebijakan menentukan tindakan yang boleh dilakukan oleh identitas tersebut. Kebijakan Vault ditulis dalam HCL dan mengikuti prinsip hak akses minimum, yaitu hanya memberikan jalur dan kemampuan yang dibutuhkan beban kerja.

Kebijakan ini memungkinkan suatu layanan membaca secret basis datanya sendiri dan tidak lebih dari itu:

Kemampuan dipetakan ke kata kerja antarmuka pemrograman: read, create, update, delete, dan list. Tolak secara bawaan; berikan izin secara eksplisit.

Jika Anda berjalan di satu komputasi awan, penyimpanan terkelola milik penyedia menghilangkan beban operasional: tidak ada penyegelan atau pembukaan segel, dan tidak ada server yang perlu diperbarui:

• AWS Secrets Manager terintegrasi dengan IAM dan mendukung fungsi Lambda bawaan untuk rotasi.
• Azure Key Vault menyimpan secret, kunci, dan sertifikat dengan RBAC.
• GCP Secret Manager menyediakan secret berversi yang dilindungi oleh pengikatan IAM.

Akses diatur oleh IAM milik komputasi awan, sehingga suatu beban kerja membaca secret menggunakan peran yang sudah dimilikinya tanpa kata sandi terpisah. Imbalannya adalah keterikatan pada vendor dan dukungan multi-awan yang lebih lemah dibandingkan Vault.

Terkadang Anda tidak ingin menyimpan secret sama sekali; Anda ingin mengenkripsi data aplikasi tanpa aplikasi Anda pernah memegang kunci enkripsi. Mesin Transit milik Vault melakukan tepat seperti itu.

Aplikasi mengirimkan teks biasa ke Vault, menerima teks sandi, dan tidak pernah melihat kuncinya. Dekripsi bekerja dengan cara yang sama. Inilah yang disebut enkripsi sebagai layanan.

Manfaatnya: kunci hanya berada di dalam Vault, dapat dirotasi secara terpusat, dan aplikasi yang disusupi tidak dapat membocorkan kunci yang tidak pernah dimilikinya.

Brankas hanya berguna jika aplikasi dapat menggunakan secret tanpa menulis jalur atau tanda autentikasi secara langsung. Pola penyisipan yang umum:

• Pendamping/agen Agen Vault berjalan bersama aplikasi, melakukan autentikasi, dan menulis secret ke volume dalam memori yang digunakan bersama.
• Pengandar CSI Kubernetes memasang secret sebagai berkas melalui pengandar CSI Penyimpanan Secret.
• Pengambilan melalui SDK aplikasi memanggil antarmuka pemrograman brankas secara langsung saat dimulai.

Utamakan pemasangan ke sistem berkas dalam memori (tmpfs) daripada variabel lingkungan, dan hindari menulis secret ke disk karena secret tersebut dapat bertahan di sana.

Setiap peristiwa pembacaan, penulisan, dan autentikasi di Vault harus dicatat dalam catatan audit. Inilah yang membuat pengelolaan rahasia dapat dipertanggungjawabkan selama terjadi insiden.

Catatan audit menjawab pertanyaan penting: siapa yang mengakses rahasia yang mana, kapan, dan dari mana. Vault menghasilkan ringkasan kriptografis dari nilai sensitif dalam catatan, sehingga catatan itu sendiri tidak membocorkan rahasia.

Kirimkan catatan audit ke sistem terpisah yang dapat mendeteksi perubahan (SIEM), sehingga penyerang yang berhasil menyusupi host Vault juga tidak dapat menghapus bukti tentang hal-hal yang telah diaksesnya.

Penyimpanan terpusat memusatkan risiko: jika Vault tumbang, semuanya ikut tumbang. Perkuat Vault sebagai aset Anda yang paling penting:

• Jalankan dengan TLS di semua titik akhir; jangan pernah mengekspos antarmuka pemrograman tanpa enkripsi.
• Letakkan Vault di jaringan privat di balik aturan firewall yang ketat.
• Aktifkan pembukaan segel otomatis melalui KMS berbasis cloud untuk menghindari penanganan pecahan kunci secara manual, tetapi lindungi kunci KMS tersebut dengan ketat.
• Gunakan TTL token yang singkat dan sewa yang dapat diperpanjang agar token yang dicuri cepat kedaluwarsa.
• Segera pasang perbaikan dan pantau catatan audit untuk menemukan anomali.

Vault menukar banyak titik kegagalan dengan satu titik yang sangat terlindungi.

Tidak ada satu alat yang paling baik; sesuaikan penyimpanan dengan lingkungan Anda:

• Satu cloud, kebutuhan sederhana gunakan pengelola bawaan (AWS/Azure/GCP) untuk beban operasional paling rendah.
• Multi-cloud atau lokal HashiCorp Vault memberikan abstraksi yang konsisten dan portabel.
• Memerlukan rahasia dinamis atau enkripsi sebagai layanan mesin Vault adalah yang paling mumpuni.
• Kubernetes sebagai komponen utama gabungkan penyimpanan dengan pengandar CSI atau operator seperti External Secrets.

Apa pun pilihan Anda, tujuannya sama: satu sumber kebenaran yang diaudit dan dikendalikan aksesnya, sebagai pengganti teks biasa yang tersebar.

Anda telah mempelajari cara mengganti rahasia yang tersebar dengan penyimpanan terpusat yang diaudit.

• Penyimpanan rahasia menyediakan penyimpanan terpusat, pengendalian akses, pencatatan audit, dan enkripsi.
• HashiCorp Vault menggunakan mesin rahasia yang dapat dipasang-lepas serta model penyegelan/pembukaan segel yang dilindungi oleh Pembagian Rahasia Shamir.
• Metode autentikasi memperoleh identitas dari platform (Kubernetes, IAM, AppRole), sedangkan kebijakan menegakkan hak akses paling rendah.
• Penyimpanan berbasis cloud (AWS, Azure, GCP) mengorbankan portabilitas demi beban operasional yang rendah.
• Mesin Transit menyediakan enkripsi sebagai layanan, sehingga aplikasi tidak pernah menyimpan kunci.
• Masukkan rahasia melalui agen atau CSI ke penyimpanan dalam memori, catat setiap akses, dan perkuat Vault sebagai aset Anda yang paling penting.

Selanjutnya, Anda akan membuat rahasia lebih aman dengan membuatnya secara dinamis dan berumur pendek.