Güvenli Gizli Bilgi Yönetimi ve Ortam Değişkenleri

Sabit kodlanmış Secret'lar — doğrudan kaynak koduna gömülmüş API anahtarları, veritabanı parolaları, TLS özel anahtarları ve OAuth belirteçleri — en yaygın ve önlenebilir güvenlik açıklarından biridir. Kaynak kodundaki Secret'lar, silindikten sonra bile sürüm denetimi geçmişinde açığa çıkar, depoya erişimi olan tüm geliştiriciler tarafından görülebilir ve depolar accidentally herkese açık hâle getirildiğinde sıkça sızdırılır. GitGuardian ve truffleHog gibi araçlar, GitHub gibi platformlarda sızdırılmış Secret'ları sürekli tarar.

Ortam değişkenleri, Secret'ları çalışma zamanında ana işletim sistemi veya kapsayıcı orkestratörü üzerinden enjekte ederek kaynak kodundan çıkarır. application, sabit kodlanmış bir değer yerine os.environ['DB_PASSWORD'] okur. Bu, sabit kodlamadan daha iyidir; ancak ortam değişkenlerinin zayıf yönleri vardır: işlem listelerinde görünürler, alt işlemlere aktarılırlar, genellikle çökme dökümlerinde ve hata ayıklama günlüklerinde yer alırlar ve elle Rotation gerektirirler. Geliştirme için uygundurlar, ancak production Secret yönetimi için tek başlarına yeterli değildirler.

Secret yöneticileri, Secret'ları depolamak, döndürmek ve bunlara erişimi denetlemek için özel olarak tasarlanmış sistemlerdir. Önde gelen çözümler arasında HashiCorp Vault (açık kaynak ve kurumsal), AWS Secrets Manager, Azure Key Vault ve Google Cloud Secret Manager bulunur. application'lar çalışma zamanında Secret yöneticisinde kimlik doğrulaması yapar, Secret'ı alır ve kullanır — Secret'lar hiçbir zaman diskte veya ortam değişkenlerinde depolanmaz. Tüm erişimler günlüğe kaydedilir; böylece hangi Secret'a kimin, ne zaman eriştiği denetlenebilir.

Secret yöneticilerinin ortam değişkenlerine göre temel bir avantajı otomatik Rotation özelliğidir. AWS Secrets Manager, application'ın yeniden dağıtılmasını gerektirmeden RDS veritabanı parolalarını bir zamanlamaya göre (ör. her 30 günde bir) otomatik olarak döndürebilir. Secret yöneticisi veritabanındaki parolayı günceller ve depolanan Secret'ı aynı anda günceller. Her bağlantıda Secret alan application'lar yeni kimlik bilgisini otomatik olarak alır. Bu, hiç döndürülmeyen 'kalıcı' hizmet hesabı parolalarının yaygın kullanımını ortadan kaldırır.

Kaynak koduna işlenmiş gizli bilgilenlere karşı ilk savunma hattı, gizli bilgiler içerebilecek tüm dosyaları dışlayan ve düzgün şekilde bakımı yapılan bir .gitignore dosyasıdır. Ancak .gitignore yalnızca gelecekteki commit'leri önler; daha önce commit edilmiş gizli bilgiler git geçmişinde kalır. Gizli bilgiler yanlışlıkla commit edilirse hemen ele geçirilmiş kabul edilmelidir: gizli bilgiyi döndürün, ardından isteğe bağlı olarak geçmişi yeniden yazmak için git filter-repo gibi araçları kullanın (uyumluluk için gereklidir, ancak tek başına yeterli değildir; çünkü gizli bilgi daha önce çıkarılmış olabilir).

Kod Olarak Altyapı (IaC) dosyaları (Terraform, CloudFormation, Kubernetes manifestoları) sıklıkla gizli bilgiler içerir: veritabanı bağlantı dizeleri, ortam değişkeni bildirimlerindeki API anahtarları ve TLS sertifikaları. Bu dosyalar genellikle sürüm denetimine commit edilir ve gizli bilgilerin açığa çıkması riskini oluşturur. Çözümler arasında Vault dinamik gizli bilgileri (Vault, her Terraform çalıştırması için özel olarak kısa ömürlü bir kimlik bilgisi üretir), Kubernetes Secrets (etcd'de saklanır ve bekleme sırasında şifrelenmelidir) ve çalışma zamanında bir gizli bilgi yöneticisinden Kubernetes'e senkronizasyon yapan external-secrets-operator bulunur.

Her uygulama veya hizmet yalnızca özellikle ihtiyaç duyduğu gizli bilgilere erişmelidir; bu, en az ayrıcalık ilkesinin gizli bilgilere uygulanmasıdır. Bir web uygulamasının veritabanı parolasına ihtiyacı vardır, ancak CA özel anahtarına ihtiyacı yoktur. Bir raporlama işinin salt okunur veritabanı kimlik bilgilerine ihtiyacı vardır; yazma erişimine değil. Gizli bilgi yöneticileri bunu, hangi kimliklerin (IAM rolleri, hizmet hesapları, AppRoles) hangi gizli bilgileri okuyabileceğini belirleyen erişim politikaları aracılığıyla uygular; tüm erişimler denetim amacıyla kaydedilir.

Dinamik gizli bilgiler belirli bir talep sahibi için isteğe bağlı olarak üretilir ve otomatik olarak sona erer. Vault, 1 saat geçerli olan ve bunu isteyen belirli hizmetle ilişkilendirilen geçici bir veritabanı kimlik bilgisi üretebilir. Süresi dolduktan sonra kimlik bilgisi veritabanı tarafından otomatik olarak iptal edilir. Bu yaklaşım, çalınabilecek uzun ömürlü statik kimlik bilgilerinin bulunmaması anlamına gelir; bir saldırgan dinamik bir kimlik bilgisini ele geçirse bile bu bilgi kısa sürede geçersiz olur ve denetim günlüklerinde talepte bulunan kimliğe bağlıdır.

CI/CD işlem hatları sıklıkla gizli bilgilere ihtiyaç duyar: dağıtım için bulut sağlayıcısı kimlik bilgileri, Docker kayıt defteri belirteçleri ve imzalama anahtarları. Gizli bilgileri işlem hattı betiklerinde veya yapılandırma dosyalarında asla saklamayın. Bunun yerine işlem hattı platformunun yerleşik gizli bilgi deposunu (GitHub Actions Secrets, GitLab CI Variables, Jenkins Credentials Store) kullanın veya çalışma zamanında makine kimliği aracılığıyla merkezi bir kasadan gizli bilgileri alın. Derleme çıktısında yanlışlıkla açığa çıkmalarını önlemek için gizli değişkenleri günlüklerde maskeli olarak işaretleyin.

Gizli bilgi yöneticileri, her gizli bilgi erişimi olayı için kapsamlı denetim günlükleri sağlar: hangi kimliğin hangi gizli bilgiye, hangi IP'den, ne zaman eriştiği ve erişimin başarılı mı yoksa reddedilmiş mi olduğu. Bu günlükler uyumluluk (SOC 2, PCI-DSS) ve olay müdahalesi için kritik öneme sahiptir. Bir kimlik bilgisinin ele geçirildiğinden şüphelenildiğinde denetim günlükleri, hangi sistemlerin bu bilgiye ne zaman eriştiğini ortaya çıkarır; böylece etkilenmiş olabilecek sistemlerin hızla belirlenmesini ve sınırlama kararlarının alınmasını sağlar.

Pre-commit kancaları, her git commit'i tamamlanmadan önce otomatik olarak çalışan ve gizli bilgilerin sürüm denetimi geçmişine girmeden önce algılanmasını sağlayan betiklerdir. detect-secrets (Yelp), GitLeaks ve git-secrets (AWS) gibi araçlar pre-commit kancaları olarak bütünleşir ve hazırlama alanındaki dosyaları API anahtarları, bağlantı dizeleri, özel anahtarlar ve JWT belirteçleriyle eşleşen örüntüler açısından tarar. Bir gizli bilgi algılanırsa commit reddedilir ve geliştiriciden kimlik bilgisini kaldırması istenir. pre-commit çatısı, ekipler arasında kanca yapılandırmalarını eklemeyi ve paylaşmayı kolaylaştırır.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: kaynak koddaki sabit kodlanmış gizli bilgiler ortadan kaldırılmalı ve Vault veya AWS Secrets Manager gibi gizli bilgi yöneticileriyle değiştirilmelidir; otomatik döndürme, saldırganların ilk ele geçirmeden sonra kötüye kullanabileceği uzun ömürlü kimlik bilgilerini ortadan kaldırır; ayrıca dinamik gizli bilgiler ve en az ayrıcalık erişim politikaları, açığa çıkan herhangi bir gizli bilginin değerini en aza indirir. Sırada dependency security ve yazılım bileşimi analizini inceleyeceğiz.