Masalah Rahsia yang Bersepah

Satu bahaya kritikal secret yang dikod keras ialah sejarah kawalan versi. Walaupun anda memadam secret dalam komit kemudian, secret itu kekal selama-lamanya dalam sejarah Git setiap klon.

Anda boleh mendapatkan semula secret yang bocor daripada sejarah pada bila-bila masa:

Oleh sebab itu, memadam secret daripada komit terkini tidak memulihkan kebocoran. Secret itu mesti dianggap telah terjejas dan digilirkan serta-merta.

Apabila repositori yang mengandungi secret yang dikod keras dihantar ke hos awam seperti GitHub, bot automatik mengikis kandungannya dalam beberapa saat hingga beberapa minit.

Akibat sebenar termasuk:

• Bil awan melambung kunci AWS yang bocor digunakan untuk melancarkan kelompok perlombongan kripto, lalu menjana caj puluhan ribu dolar semalaman.
• Kebocoran data kelayakan pangkalan data yang terdedah membawa kepada pengeluaran semua data secara tidak sah.
• Pergerakan sisi satu token yang bocor digunakan untuk bergerak lebih jauh ke dalam infrastruktur.

Penyedia awan dan GitHub kini menjalankan pengimbasan secret yang mengesan dan kadangkala membatalkan kunci yang bocor secara automatik, tetapi anda tidak boleh bergantung padanya sebagai jaring keselamatan.

Kontena memperkenalkan vektor penyebaran yang sukar dikesan. Secret yang dibakar ke dalam imej semasa binaan disimpan dalam lapisan imej dan dihantar ke setiap registri serta hos yang mengambil imej itu.

Kesilapan yang biasa berlaku ialah menyalin masuk fail secret, kemudian memadamkannya dalam lapisan kemudian secret itu masih wujud dalam lapisan terdahulu:

Sesiapa yang mengambil imej itu boleh mengekstrak lapisan tersebut dan membaca kuncinya. Sebaliknya, gunakan secret binaan atau suntikan semasa masa jalan.

Memindahkan rahsia keluar daripada kod dan ke dalam pemboleh ubah persekitaran ialah satu peningkatan, tetapi bukan penyelesaian lengkap. Pemboleh ubah persekitaran menyelesaikan pengekodan keras, namun memperkenalkan laluan pendedahan baharu:

• Bocor dalam longgokan ranap dan surih tindanan ralat
• Kelihatan kepada proses lain melalui /proc/<pid>/environ di Linux
• Direkodkan oleh alat penyahpepijatan yang mencetak keseluruhan persekitaran
• Disimpan dalam fail .env teks biasa yang terserah ke dalam komit secara tidak sengaja

Pemboleh ubah persekitaran boleh diterima untuk konfigurasi yang kurang sensitif, tetapi secret bernilai tinggi hendaklah disimpan dalam pengurus rahsia khusus dengan kawalan akses dan pengauditan.

Penyebaran rahsia menjadikan tindak balas insiden hampir mustahil. Apabila secret berada di merata tempat, dua soalan tidak dapat dijawab:

• Di manakah ia? Anda tidak boleh menggilirkan sesuatu yang tidak dapat anda temui.
• Siapa yang menggunakannya? Tanpa rekod akses terpusat, anda tidak dapat menentukan sejauh mana kebocoran berlaku.

Jejari impak satu kelayakan yang bocor bertambah seiring dengan penyebaran. Kata laluan yang dikongsi dan digunakan semula merentas sepuluh perkhidmatan bermakna satu kebocoran menjejaskan kesemua sepuluh perkhidmatan. Pemusatan serta secret unik yang berjangka hayat pendek mengecilkan jejari ini dengan ketara.

Cara paling murah untuk menghentikan kebocoran ialah menghalangnya sebelum masuk ke dalam kawalan versi. Pengimbas secret prakomit memeriksa perubahan yang dipentaskan dan menyekat komit yang mengandungi corak kelayakan.

Alat sumber terbuka yang popular termasuk gitleaks, trufflehog dan detect-secrets. Cangkuk prakomit biasa dijalankan secara setempat:

Gabungkan langkah ini dengan pengimbasan pada pelayan dalam integrasi berterusan supaya pembangun yang memintas cangkuk setempat masih dapat dikesan.

Jika secret sampai ke tempat yang tidak sepatutnya, ikuti susunan ini. Penggiliran mesti didahulukan; pembersihan sejarah ialah langkah kedua kerana salinan mungkin sudah wujud.

• 1. Gilirkan batalkan secret yang bocor dan keluarkan secret baharu dengan segera.
• 2. Semak semak rekod akses untuk sebarang penggunaan tanpa kebenaran sepanjang tempoh pendedahan.
• 3. Hapuskan keluarkan secret daripada sejarah (contohnya git filter-repo) dan lakukan tolak paksa.
• 4. Cegah tambahkan pengimbasan dan pindahkan secret ke dalam pengurus supaya perkara ini tidak berulang.

Jangan sekali-kali langkau langkah 1. Secret yang pernah berada di ruang awam telah terjejas, tanpa pengecualian.

Penyebaran menjadi lebih buruk apabila rahsia mempunyai terlalu banyak keistimewaan dan dikongsi secara berlebihan. Penggunaan keistimewaan minimum mengehadkan kerosakan apabila kebocoran berlaku:

• Berikan setiap perkhidmatan kelayakan sendiri, jangan gunakan kelayakan yang dikongsi.
• Hadkan setiap rahsia kepada keizinan minimum yang diperlukan (baca sahaja berbanding pentadbir).
• Utamakan kelayakan berjangka hayat pendek yang tamat secara automatik.
• Asingkan rahsia mengikut persekitaran; kunci pembangunan tidak boleh memberikan akses produksi.

Amalan ini menukar pencerobohan yang dahsyat menjadi insiden terkawal yang boleh dipulihkan.

Alat sahaja tidak menyelesaikan masalah penyebaran; budaya yang matanglah yang menyelesaikannya. Organisasi yang matang menganggap pengurusan rahsia sebagai disiplin berterusan:

• Pendirian lalai: tiada secret sama sekali dalam kod sumber.
• Pusatkan storan dalam peti besi terurus dengan kawalan akses dan rekod audit.
• Automatikkan pengimbasan pada setiap peringkat: prakomit, integrasi berterusan dan registri.
• Jadikan penggiliran sebagai rutin, bukan tindakan yang hanya dilakukan ketika kecemasan.
• Latih setiap jurutera untuk mengenal pasti dan melaporkan pendedahan tanpa menyalahkan sesiapa.

Matlamatnya ialah sistem yang menyukarkan kebocoran secret berlaku dan memudahkan pemulihan daripadanya.

Anda telah mempelajari sebab rahsia yang berselerak dan dikod keras merupakan antara kelemahan keselamatan yang paling biasa serta paling merosakkan.

• Penyebaran rahsia ialah penyebaran kelayakan yang tidak terkawal merentas kod, saluran paip, imej dan ruang sembang.
• Rahsia yang dikod keras kekal selama-lamanya dalam sejarah Git; memadamnya tidak memulihkan kebocoran.
• Repositori awam dikikis dalam beberapa minit, lalu menyebabkan bil awan melambung dan kebocoran.
• Pemboleh ubah persekitaran dan lapisan imej ialah bekas yang mudah bocor, bukan storan yang selamat.
• Penyebaran membesarkan jejari impak serta menjadikan penggiliran dan tindak balas insiden mustahil.
• Penyelesaiannya: lakukan pengimbasan sebelum komit, gilirkan dahulu apabila berlaku kebocoran, pusatkan rahsia dalam peti besi dan gunakan keistimewaan minimum.

Seterusnya, kita akan memusatkan rahsia dengan betul menggunakan peti besi dan stor secret.