Problem rozprzestrzeniania się sekretów

Rozproszenie sekretów to niekontrolowane rozprzestrzenienie poufnych danych uwierzytelniających w organizacji. Sekret to dowolna informacja zapewniająca dostęp: klucze API, hasła do baz danych, tokeny OAuth, prywatne klucze TLS, klucze SSH i klucze szyfrujące.

Do rozproszenia dochodzi, gdy sekrety trafiają do miejsc, w których nigdy nie powinny się znajdować:

• Kodu źródłowego i plików konfiguracyjnych
• Potoków CI/CD i zmiennych środowiskowych
• Obrazów kontenerów i infrastruktury jako kodu
• Wiadomości na czatach, wiki i systemów obsługi zgłoszeń

Gdy sekret istnieje w wielu miejscach, traci się możliwość niezawodnego śledzenia go, rotowania nim i unieważniania go.

Najczęstszą przyczyną źródłową jest sekret zapisany na stałe, czyli dane uwierzytelniające wpisane bezpośrednio w kod źródłowy. Jest to wygodne podczas programowania, ale z czasem staje się trwałym zagrożeniem.

Tak wygląda hasło do bazy danych zapisane na stałe w kodzie aplikacji:

Każda osoba z dostępem do odczytu tego pliku ma teraz hasło produkcyjne. Dotyczy to każdego dewelopera, każdego runnera CI oraz każdej osoby, która później sklonuje repozytorium.

Jednym z poważnych zagrożeń związanych z sekretami zapisanymi na stałe jest historia kontroli wersji. Nawet jeśli sekret zostanie usunięty w późniejszym commicie, pozostaje na zawsze w historii Git każdego klona.

Ujawniony sekret można w dowolnym momencie odzyskać z historii:

Dlatego usunięcie sekretu z najnowszego commita nie usuwa skutków wycieku. Należy uznać, że sekret został skompromitowany, i natychmiast przeprowadzić jego rotację.

Gdy repozytorium zawierające sekrety zapisane na stałe zostanie wypchnięte do publicznego hostingu, takiego jak GitHub, automatyczne boty skanują je w ciągu kilku sekund lub minut.

Rzeczywiste konsekwencje obejmują:

• Eksplozje rachunków za chmurę — ujawnione klucze AWS są wykorzystywane do uruchamiania farm koparek kryptowalut, generując w ciągu jednej nocy rachunki na dziesiątki tysięcy dolarów.
• Naruszenia bezpieczeństwa danych — ujawnione dane uwierzytelniające do bazy danych prowadzą do całkowitego wyprowadzenia danych.
• Ruch boczny — jeden ujawniony token jest wykorzystywany do przejścia w głąb infrastruktury.

Dostawcy usług chmurowych i GitHub oferują obecnie skanowanie sekretów, które automatycznie wykrywa, a czasami także unieważnia ujawnione klucze, ale nie można polegać na tym jako na zabezpieczeniu awaryjnym.

Kontenery wprowadzają subtelny wektor rozprzestrzeniania się sekretów. Sekrety wbudowane w obraz podczas kompilacji są przechowywane w warstwach obrazu i trafiają do każdego rejestru oraz hosta, który pobiera ten obraz.

Częstym błędem jest skopiowanie pliku z sekretem, a następnie usunięcie go w późniejszej warstwie — sekret nadal istnieje we wcześniejszej warstwie:

Każda osoba, która pobierze obraz, może wyodrębnić tę warstwę i odczytać klucz. Zamiast tego należy używać sekretów kompilacji lub wstrzykiwania w czasie działania.

Przeniesienie sekretów z kodu do zmiennych środowiskowych jest krokiem naprzód, ale nie stanowi kompletnego rozwiązania. Zmienne środowiskowe eliminują problem zapisywania sekretów na stałe, lecz wprowadzają nowe drogi ujawnienia:

• mogą wyciec w zrzutach awarii i śladach stosu błędów
• są widoczne dla innych procesów za pośrednictwem /proc/<pid>/environ w systemie Linux
• mogą być zapisywane przez narzędzia debugujące, które wyświetlają całe środowisko
• są przechowywane w jawnych plikach .env, które mogą zostać przypadkowo zatwierdzone

Zmienne środowiskowe są dopuszczalne w przypadku konfiguracji o niskiej wrażliwości, ale szczególnie cenne sekrety należy przechowywać w dedykowanym menedżerze sekretów z kontrolą dostępu i audytem.

Rozproszenie sekretów sprawia, że reagowanie na incydenty staje się niemal niemożliwe. Gdy sekret znajduje się wszędzie, dwa pytania pozostają bez odpowiedzi:

• Gdzie się znajduje? Nie można przeprowadzić rotacji sekretu, którego nie można znaleźć.
• Kto z niego korzystał? Bez scentralizowanych dzienników dostępu nie można określić zakresu naruszenia.

Promień rażenia pojedynczych ujawnionych danych uwierzytelniających rośnie wraz z ich rozproszeniem. Współdzielone hasło używane w dziesięciu usługach oznacza, że jeden wyciek narusza bezpieczeństwo wszystkich dziesięciu. Centralizacja oraz unikatowe, krótkotrwałe sekrety znacznie ograniczają ten promień.

Najtańszym miejscem na zatrzymanie wycieku jest moment przed wprowadzeniem sekretu do kontroli wersji. Skanery sekretów uruchamiane przed commitem sprawdzają zmiany przygotowane do zatwierdzenia i blokują commity zawierające wzorce danych uwierzytelniających.

Do popularnych narzędzi open source należą gitleaks, trufflehog i detect-secrets. Typowy hook przed commitem jest uruchamiany lokalnie:

Należy połączyć to ze skanowaniem po stronie serwera w CI, aby deweloper, który ominie lokalny hook, również został wykryty.

Jeśli sekret trafi w miejsce, w którym nie powinien się znaleźć, należy postępować w następującej kolejności. Rotacja jest najważniejsza — czyszczenie historii ma drugorzędne znaczenie, ponieważ kopie mogą już istnieć.

• 1. Przeprowadzić rotację — natychmiast unieważnić ujawniony sekret i wydać nowy.
• 2. Przeprowadzić audyt — sprawdzić dzienniki dostępu pod kątem nieautoryzowanego użycia w okresie ujawnienia.
• 3. Oczyścić — usunąć sekret z historii, na przykład za pomocą git filter-repo, i wykonać force-push.
• 4. Zapobiegać — dodać skanowanie i przenieść sekret do menedżera, aby sytuacja się nie powtórzyła.

Nie należy pomijać kroku 1. Sekret, który trafił do publicznie dostępnego miejsca, jest bezwzględnie skompromitowany.

Rozproszenie sekretów pogłębia się, gdy sekrety mają nadmierne uprawnienia i są nadmiernie udostępniane. Stosowanie zasady najmniejszych uprawnień ogranicza szkody w przypadku wycieku:

• Każdej usłudze należy przyznać własne dane uwierzytelniające, nigdy współdzielone.
• Zakres każdego sekretu należy ograniczyć do minimalnych wymaganych uprawnień — tylko do odczytu zamiast uprawnień administratora.
• Należy preferować krótkotrwałe dane uwierzytelniające, które automatycznie wygasają.
• Sekrety należy rozdzielić według środowisk — klucze deweloperskie nigdy nie mogą zapewniać dostępu do środowiska produkcyjnego.

Te praktyki zmieniają katastrofalne naruszenie bezpieczeństwa w ograniczony i możliwy do opanowania incydent.

Same narzędzia nie rozwiązują problemu rozproszenia sekretów — potrzebna jest zmiana kultury. Dojrzała organizacja traktuje zarządzanie sekretami jako stałą praktykę:

• Domyślna zasada: żadnych sekretów w kodzie źródłowym.
• Centralizowanie przechowywania w zarządzanym magazynie sekretów z kontrolą dostępu i dziennikami audytu.
• Automatyzowanie skanowania na każdym etapie: przed commitem, w CI i w rejestrze.
• Traktowanie rotacji jako rutynowego działania, a nie czynności wykonywanej wyłącznie w sytuacji awaryjnej.
• Szkolenie każdego inżyniera w zakresie rozpoznawania i zgłaszania ujawnień bez obwiniania.

Celem jest system, w którym ujawnienie sekretu jest trudne, a odzyskanie kontroli po takim zdarzeniu — łatwe.

Proszę sprawdzić, czy rozumieją Państwo, dlaczego usunięcie ujawnionego sekretu nie wystarcza.

Wyjaśniono, dlaczego rozproszone i zapisane na stałe sekrety należą do najczęstszych i najbardziej szkodliwych słabości bezpieczeństwa.

• Rozproszenie sekretów to niekontrolowane rozprzestrzenianie się danych uwierzytelniających w kodzie, potokach, obrazach i komunikatorach.
• Sekrety zapisane na stałe pozostają na zawsze w historii Git — ich usunięcie nie usuwa skutków wycieku.
• Publiczne repozytoria są skanowane w ciągu kilku minut, co prowadzi do eksplozji rachunków za chmurę i naruszeń bezpieczeństwa.
• Zmienne środowiskowe i warstwy obrazów to nieszczelne pojemniki, a nie bezpieczne miejsca przechowywania.
• Rozproszenie zwiększa promień rażenia oraz uniemożliwia rotację i reagowanie na incydenty.
• Rozwiązanie: skanować przed commitem, w razie wycieku najpierw przeprowadzać rotację, centralizować sekrety w magazynie oraz stosować zasadę najmniejszych uprawnień.

W następnym kroku prawidłowo scentralizujemy sekrety za pomocą sejfów i magazynów sekretów.