Ротация ключей и обнаружение утечек

Ротация ключей — это периодическая замена секрета новым и вывод старого из эксплуатации. Даже идеально сохранённый ключ выигрывает от ротации:

• Ограничивает период уязвимости — если ключ незаметно утёк, ротация сделает его недействительным.
• Снижает криптографическую нагрузку — под одним ключом шифруется меньше данных.
• Обеспечивает соответствие требованиям — такие стандарты, как PCI DSS, требуют периодической ротации.
• Устраняет доступ ушедших сотрудников — учетные данные, которые видел бывший сотрудник, становятся бесполезными.

Основная идея такова: ценность секрета для злоумышленника снижается тем сильнее, чем чаще он меняется. Ротация превращает утечку из постоянной проблемы во временную.

Наивная ротация — удалить старый ключ и создать новый — вызывает сбои, потому что потребители, которые всё ещё используют старый ключ, мгновенно перестают работать. Безопасная ротация использует перекрывающиеся сроки действия:

• 1. Создайте новый ключ одновременно с существующим.
• 2. Распространите новый ключ среди всех потребителей.
• 3. Активируйте новый ключ для новых операций.
• 4. Льготный период — оба ключа остаются действительными, пока потребители переходят на новый.
• 5. Выведите из эксплуатации старый ключ и отзовите его, когда им больше никто не пользуется.

Это перекрытие двух ключей лежит в основе ротации без простоя.

Чтобы выполнить ротацию без нарушения трафика, сервисы должны принимать и старый, и новый ключ в течение переходного периода. Проверяющий компонент сравнивает входящий токен с любым ключом, действующим в данный момент.

Для ключей подписи публикуйте несколько открытых ключей (keys) и указыва йте, каким ключом подписан токен, с помощью идентификатора ключа (ID, kid) в заголовке. Потребители автоматически выбирают соответствующий ключ.

Выводить старый ключ из обращения следует только после того, как данные телеметрии подтвердят отсутствие трафика через него.

Ручная ротация выполняется редко, часто приводит к ошибкам и пропускается в условиях давления. Автоматизируйте её. Облачные платформы и системы управления хранилищами могут выполнять ротацию по расписанию без участия человека:

• AWS «Менеджер секретов» запускает лямбда-функцию ротации, которая создаёт новые учётные данные, проверяет их и делает их активными.
• HashiCorp Хранилище ротирует корневые учётные данные и выдаёт динамические секреты с коротким сроком действия, поэтому ротация выполняется непрерывно.
• Облачный KMS может автоматически ротировать ключи шифрования (keys) через фиксированный интервал.

Автоматизированная ротация также является самым надёжным ответом на предполагаемую утечку: достаточно одной команды или задания по расписанию, применяемых повсюду.

Ротировать пароль просто: создайте новый и обновите данные у потребителей. Ротировать ключ шифрования сложнее, поскольку старые данные были зашифрованы старым ключом.

Стандартное решение — конвертное шифрование: данные шифруются отдельным ключом данных, а этот ключ данных шифруется мастер-ключом шифрования ключей (KEK). При ротации нужно повторно зашифровать только небольшие ключи данных с помощью нового KEK, а не весь набор данных.

Транзитный механизм в хранилище отслеживает это с помощью версионированных ключей: он определяет, какая версия зашифровала каждый шифротекст, и позволяет повторно обернуть его с использованием последней версии.

Плановая ротация нужна для поддержания порядка, а экстренная ротация — для реагирования на взломы. Если известно или предполагается, что ключ скомпрометирован, пропустите длительный переходный период и выполните ротацию немедленно, при необходимости допустив кратковременное нарушение работы.

Подготовка помогает пережить такую ситуацию:

• Подготовьте проверенное операционное руководство по ротации каждого типа секрета.
• Заранее определите каждого потребителя каждого секрета.
• Подготовьте автоматизацию, чтобы экстренная ротация выполнялась одной командой, а не превращалась в исследовательский проект.

Скорость экстренной ротации напрямую определяет масштаб утечки.

Ротация устраняет последствия известных утечек, а обнаружение помогает находить неизвестные. Сканеры секретов ищут шаблоны учётных данных в исходном коде, истории, журналах и артефактах.

Для эшелонированной защиты выполняйте сканирование на нескольких уровнях:

• Перед фиксацией блокируйте секреты до того, как они попадут в репозиторий.
• Конвейер непрерывной интеграции обнаруживает то, что обошло локальные хуки.
• Для всего репозитория периодически выполняйте глубокое сканирование полной истории.
• На стороне платформы GitHub и GitLab выполняют сканирование секретов при отправке изменений.

Инструменты вроде «Гитликс» и «Трафлхог» используют регулярные выражения и анализ энтропии, чтобы находить строки с высокой случайностью, похожие на ключи.

Сканеры используют два взаимодополняющих метода:

• Сопоставление с шаблонами — поиск известных префиксов и форматов. Например, ключи AWS (keys) начинаются с AKIA, рабочие ключи Stripe — с sk_live_, а токены GitHub — с ghp_.
• Анализ энтропии — измерение случайности. Настоящие секреты представляют собой строки с высокой энтропией; длинное значение, похожее на случайный набор символов, подозрительно даже без известного префикса.

Шаблоны обеспечивают точность, то есть дают мало ложных срабатываний, а энтропия — полноту, то есть помогает находить неизвестные форматы. Хорошие инструменты объединяют оба метода и позволяют настраивать пороги и списки разрешений для управления лишним шумом.

Сканирование находит секреты там, где их быть не должно. Ханитокен, или токен-канарейка, обнаруживает, когда секрет использует злоумышленник.

Разместите реалистично выглядящие, но поддельные учётные данные: ключ AWS, токен API или подключение к базе данных — в привлекательных для поиска местах, например в файле конфигурации или общедоступном репозитории. Эти учётные данные не дают ничего полезного, но любая попытка их использования вызывает оповещение.

Поскольку легитимные системы никогда не обращаются к ханитокену, каждое срабатывание является достоверным сигналом вторжения и ранним предупреждением о том, что злоумышленник получил доступ к хранилищу секретов или кодовой базе.

Помимо ханитокенов, отслеживайте, как используются настоящие секреты. Аудитные журналы из вашего хранилища и облачного провайдера выявляют характерные признаки злоупотреблений:

• Новое географическое местоположение — ключ внезапно используется из неожиданной страны.
• Доступ вне рабочего времени — учётные данные используются в три часа ночи, когда задания не выполняются.
• Проверка привилегий — ключ только для чтения пытается выполнять операции записи или административные вызовы.
• Всплески объёма — внезапно возрастает число вызовов API.

Передавайте эти журналы в SIEM с настроенными оповещениями. Обнаружение в сочетании с быстрой ротацией — практический ответ на утечки, которым удалось обойти предотвращение.

Зрелая программа объединяет проактивную ротацию с непрерывным обнаружением:

• Отдавайте предпочтение динамическим секретам с коротким сроком действия, чтобы ротация выполнялась автоматически и постоянно.
• Автоматизируйте плановую ротацию всех неизбежно статичных секретов.
• Используйте перекрытие двух ключей для ротации ключей подписи без простоя.
• Сканируйте повсюду: перед фиксацией, в непрерывной интеграции, истории и на платформе.
• Размещайте ханитокены и отслеживайте аномальное использование по аудитным журналам.
• Храните экстренные операционные руководства, чтобы ротировать подтверждённую утечку за считанные минуты.

Цель: сделать каждый секрет краткоживущим, каждую утечку обнаруживаемой, а каждую ротацию быстрой и привычной процедурой.

Вы узнали, как поддерживать актуальность секретов и обнаруживать утечки, которым удалось проскользнуть незамеченными.

• Ротация ограничивает период уязвимости и помогает соблюдать требования; безопасная ротация использует перекрытие двух ключей для работы без простоя.
• Автоматизируйте ротацию с помощью облачных менеджеров, хранилища и KMS. Отдавайте предпочтение динамическим секретам с коротким сроком действия, чтобы ротация выполнялась непрерывно.
• При ротации ключей шифрования используется конвертное шифрование, поэтому повторно оборачиваются небольшие ключи данных, а не целые наборы данных.
• Экстренная ротация зависит от операционных руководств и предварительного знания каждого потребителя.
• Обнаружение объединяет сканирование секретов по шаблонам и энтропии, ханитокены, выявляющие использование, а также мониторинг аномалий по аудитным журналам и в SIEM.
• Зрелая стратегия объединяет проактивную ротацию с непрерывным обнаружением, поэтому утечки быстро теряют актуальность, становятся видимыми и оперативно локализуются.

На этом курс «Управление секретами и ротация ключей» завершён.