Säker hantering av hemligheter och miljövariabler

Hårdkodade hemligheter — API-nycklar, databaslösenord, privata TLS-nycklar och OAuth-token som bäddas in direkt i källkoden — är en av de vanligaste och mest förebyggbara säkerhetssårbarheterna. Hemligheter i källkoden exponeras i versionshanteringshistoriken (även efter att de har tagits bort), är synliga för alla utvecklare med åtkomst till kodarkivet och läcker ofta när kodarkiv av misstag görs offentliga. Verktyg som GitGuardian och truffleHog söker kontinuerligt efter läckta hemligheter på plattformar som GitHub.

Miljövariabler tar bort hemligheter från källkoden genom att injicera dem vid körning via värdoperativsystemet eller containerorkestreraren. Programmet läser os.environ['DB_PASSWORD'] i stället för ett hårdkodat värde. Detta är bättre än hårdkodning, men miljövariabler har svagheter: de visas i processlistor, ärvs av underordnade processer, hamnar ofta i kraschdumpfiler och felsökningsloggar och kräver manuell rotation. De lämpar sig för utveckling, men räcker inte ensamma för hantering av produktionshemligheter.

System för hemlighetshantering är specialbyggda system för lagring, rotation och granskning av åtkomst till hemligheter. Ledande lösningar är bland andra HashiCorp Vault (öppen källkod och enterprise), AWS Secrets Manager, Azure Key Vault och Google Cloud Secret Manager. Program autentiserar sig mot systemet för hemlighetshantering vid körning, hämtar hemligheten och använder den — inga hemligheter lagras någonsin på disk eller i miljövariabler. All åtkomst loggas, vilket möjliggör granskning av vem som fick åtkomst till vilken hemlighet och när.

En viktig fördel med system för hemlighetshantering jämfört med miljövariabler är automatisk rotation. AWS Secrets Manager kan automatiskt rotera lösenord för RDS-databaser enligt ett schema (till exempel var 30:e dag) utan att programmet behöver distribueras på nytt. Systemet för hemlighetshantering uppdaterar lösenordet i databasen och den lagrade hemligheten samtidigt. Program som hämtar hemligheter vid varje anslutning får automatiskt den nya autentiseringsuppgiften. Detta eliminerar den vanliga användningen av ”permanenta” lösenord för tjänstekonton som aldrig roteras.

Den första försvarslinjen mot incheckade hemligheter är en korrekt underhållen .gitignore-fil som utesluter alla filer som kan innehålla hemligheter. .gitignore förhindrar dock endast framtida incheckningar – hemligheter som redan har checkats in finns kvar i gits historik. Om hemligheter råkar checkas in måste de omedelbart betraktas som röjda: rotera hemligheten och använd därefter eventuellt verktyg som git filter-repo för att skriva om historiken (vilket krävs för efterlevnad, men inte är tillräckligt i sig eftersom hemligheten redan kan ha extraherats).

Filer för Infrastructure as Code (IaC) (Terraform, CloudFormation och Kubernetes-manifest) innehåller ofta hemligheter – anslutningssträngar till databaser, API-nycklar i deklarationer av miljövariabler och TLS-certifikat. Dessa filer checkas ofta in i versionshantering, vilket skapar risk för att hemligheter röjs. Lösningar omfattar dynamiska hemligheter i Vault (Vault genererar en kortlivad autentiseringsuppgift specifikt för varje Terraform-körning), Kubernetes Secrets (lagras i etcd och måste krypteras vid lagring) samt external-secrets-operator, som synkroniserar från en hemlighetshanterare till Kubernetes vid körning.

Varje applikation eller tjänst ska endast få åtkomst till de hemligheter som den specifikt behöver – principen om minsta privilegium tillämpad på hemligheter. En webbapplikation behöver databaslösenordet men inte den privata CA-nyckeln. Ett rapporteringsjobb behöver skrivskyddade databasautentiseringsuppgifter, inte skrivåtkomst. Hemlighetshanterare tillämpar detta genom åtkomstprinciper som anger vilka identiteter (IAM-roller, servicekonton och AppRoles) som får läsa vilka hemligheter, samtidigt som all åtkomst loggas för revision.

Dynamiska hemligheter genereras vid behov för en specifik begärande och upphör automatiskt att gälla. Vault kan generera en tillfällig databasautentiseringsuppgift som är giltig i en timme och kopplad till den specifika tjänst som begärde den. När den upphör att gälla återkallas autentiseringsuppgiften automatiskt av databasen. Det innebär att det inte finns några statiska autentiseringsuppgifter med lång giltighet som kan stjälas – även om en angripare fångar upp en dynamisk autentiseringsuppgift upphör den snabbt att gälla och är kopplad till den begärande identiteten i granskningsloggarna.

CI/CD-pipelines behöver ofta hemligheter – autentiseringsuppgifter för molnleverantörer vid driftsättning, token för Docker-register och signeringsnycklar. Lagra aldrig hemligheter i pipelineskript eller konfigurationsfiler. Använd i stället pipelineplattformens inbyggda hemlighetslagring (GitHub Actions Secrets, GitLab CI Variables, Jenkins Credentials Store) eller hämta hemligheter från ett centralt valv vid körning med hjälp av en maskinidentitet. Markera hemliga variabler som maskerade i loggar för att förhindra att de råkar exponeras i byggutdata.

Hemlighetshanterare tillhandahåller omfattande granskningsloggar över varje åtkomsthändelse för hemligheter: vilken identitet som fick åtkomst till vilken hemlighet, från vilken IP-adress, vid vilken tidpunkt samt om åtkomsten lyckades eller nekades. Dessa loggar är avgörande för efterlevnad (SOC 2, PCI-DSS) och incidenthantering. När en autentiseringsuppgift misstänks ha röjts visar granskningsloggarna vilka system som använde den och när – vilket möjliggör snabb identifiering av potentiellt berörda system och beslut om begränsningsåtgärder.

Pre-commit-hookar är skript som körs automatiskt innan varje git-incheckning slutförs, vilket gör det möjligt att upptäcka hemligheter innan de hamnar i versionshanteringshistoriken. Verktyg som detect-secrets (Yelp), GitLeaks och git-secrets (AWS) integreras som pre-commit-hookar och söker igenom uppstegade filer efter mönster som motsvarar API-nycklar, anslutningssträngar, privata nycklar och JWT-token. Om en hemlighet upptäcks avvisas incheckningen och utvecklaren uppmanas att ta bort autentiseringsuppgiften. pre-commit-ramverket gör det enkelt att lägga till och dela hook-konfigurationer mellan team.

I den här lektionen har ni lärt er att hårdkodade hemligheter i källkod måste elimineras och ersättas med hemlighetshanterare som Vault eller AWS Secrets Manager, att automatisk rotation tar bort långlivade autentiseringsuppgifter som angripare kan missbruka även efter en första kompromettering, samt att dynamiska hemligheter och åtkomstprinciper enligt minsta privilegium minimerar värdet av varje enskild hemlighet som röjs. Härnäst utforskar vi beroendesäkerhet och analys av programvarukomposition.