Gizli Bilgilerin Dağınık Hâle Gelmesi Sorunu

Gizli bilgilerin kontrolsüz yayılması, hassas kimlik bilgilerinin bir kuruluş içinde denetimsiz biçimde dağılmasıdır. Gizli bilgi, erişim sağlayan her şeydir: uygulama programlama arayüzü anahtarları, veritabanı parolaları, OAuth belirteçleri, TLS özel anahtarları, SSH anahtarları ve şifreleme anahtarları.

Bu yayılma, gizli bilgiler hiçbir zaman bulunmamaları gereken yerlere dağıldığında gerçekleşir:

• Kaynak kodu ve yapılandırma dosyaları
• CI/CD işlem hatları ve ortam değişkenleri
• Konteyner görüntüleri ve kod olarak altyapı
• Sohbet iletileri, vikiler ve talep yönetim sistemleri

Bir gizli bilgi birçok yerde bulunduğunda, onu güvenilir biçimde izleme, yenileme veya iptal etme olanağınızı kaybedersiniz.

En yaygın temel neden, kaynak koda doğrudan yazılmış bir kimlik bilgisi olan sabit kodlanmış secrettır. Geliştirme sırasında kullanışlı görünür, ancak kalıcı bir güvenlik açığına dönüşür.

Uygulama kodunda sabit kodlanmış bir veritabanı parolası şöyle görünür:

Artık bu dosyaya okuma erişimi olan herkes üretim parolasına sahiptir. Buna her geliştirici, her CI çalıştırıcısı ve daha sonra depoyu klonlayan herkes dahildir.

Sabit kodlanmış secret'ların kritik bir tehlikesi sürüm denetimi geçmişidir. Daha sonraki bir kayıtta bir secret'ı silseniz bile, her klonun Git geçmişinde kalıcı olarak varlığını sürdürür.

Sızdırılmış bir secret'ı geçmişten istediğiniz zaman geri alabilirsiniz:

Bu nedenle bir secret'ı en son kayıttan silmek sızıntıyı gidermez. Secret ele geçirilmiş kabul edilmeli ve hemen yenilenmelidir.

Sabit kodlanmış secret'lar içeren bir depo GitHub gibi herkese açık bir sunucuya gönderildiğinde, otomatik botlar bu depoyu saniyeler ila dakikalar içinde tarar.

Gerçek dünyadaki sonuçlar arasında şunlar vardır:

• Bulut faturası şokları sızdırılan AWS anahtarlarının kripto para madenciliği filoları kurmak için kullanılması ve bir gecede on binlerce dolarlık ücret oluşturması.
• Veri ihlalleri açığa çıkan veritabanı kimlik bilgilerinin tüm verilerin dışarı aktarılmasına yol açması.
• Yatay ilerleme sızdırılan tek bir belirtecin altyapının daha derinlerine ilerlemek için kullanılması.

Bulut sağlayıcıları ve GitHub artık sızdırılan anahtarları otomatik olarak algılayan ve bazen otomatik olarak iptal eden gizli bilgi taraması özelliklerini çalıştırıyor, ancak bir güvenlik ağı olarak buna güvenemezsiniz.

Konteynerler, gizli bilgilerin dağılması için fark edilmesi zor bir yol oluşturur. Derleme sırasında bir görüntüye gömülen gizli bilgiler görüntü katmanlarında saklanır ve görüntüyü çeken her kayıt deposuna ve sunucuya gönderilir.

Yaygın bir hata, bir gizli bilgi dosyasını görüntüye kopyalayıp daha sonraki bir katmanda silmektir; ancak gizli bilgi önceki katmanda hâlâ bulunur:

Görüntüyü çeken herkes bu katmanı çıkarıp anahtarı okuyabilir. Bunun yerine derleme sırasında gizli bilgiler veya çalışma zamanında enjeksiyon kullanın.

Gizli bilgileri koddan çıkarıp ortam değişkenlerine taşımak bir ilerlemedir, ancak eksiksiz bir çözüm değildir. Ortam değişkenleri sabit kodlama sorununu çözer, fakat yeni açığa çıkma yolları oluşturur:

• Çökme dökümlerinde ve hata yığın izlerinde sızabilir
• Linux'ta /proc/<pid>/environ aracılığıyla diğer işlemler tarafından görülebilir
• Tam ortamı yazdıran hata ayıklama araçları tarafından günlüğe kaydedilebilir
• Yanlışlıkla kayda eklenen düz metin .env dosyalarında saklanabilir

Ortam değişkenleri düşük hassasiyetli yapılandırmalar için kabul edilebilir, ancak yüksek değerli gizli bilgiler erişim denetimi ve denetim kayıtları olan özel bir gizli bilgi yöneticisinde tutulmalıdır.

Dağınıklık, olay müdahalesini neredeyse imkânsız hâle getirir. Bir secret her yerde bulunduğunda iki sorunun yanıtlanması mümkün olmaz:

• Nerede? Bulamadığınız bir şeyi yenileyemezsiniz.
• Kim kullandı? Merkezi erişim kayıtları olmadan bir ihlalin kapsamını belirleyemezsiniz.

Tek bir sızdırılmış kimlik bilgisinin etki alanı, dağınıklık arttıkça büyür. On hizmette yeniden kullanılan ortak bir parola, tek bir sızıntının on hizmetin tamamını tehlikeye atması anlamına gelir. Merkezileştirme ve benzersiz, kısa ömürlü gizli bilgiler bu alanı önemli ölçüde küçültür.

Bir sızıntıyı durdurmak için en ucuz nokta, sızıntının sürüm denetimine girmesinden öncesidir. Ön kayıt gizli bilgi tarayıcıları, hazırlama alanındaki değişiklikleri inceler ve kimlik bilgisi kalıpları içeren kayıtları engeller.

Yaygın açık kaynak araçları arasında gitleaks, trufflehog ve detect-secrets bulunur. Tipik bir ön kayıt kancası yerel olarak çalışır:

Bunu CI içinde sunucu tarafı taramayla birlikte kullanın; böylece yerel kancayı atlayan bir geliştirici yine de yakalanır.

Bir secret bulunmaması gereken bir yere ulaşırsa şu sırayı izleyin. Önce yenileme yapılmalıdır; kopyalar zaten var olabileceğinden geçmişi temizlemek ikincil adımdır.

• 1. Yenileyin sızan secret'ı iptal edin ve hemen yenisini oluşturun.
• 2. Denetleyin maruz kalma süresi boyunca yetkisiz kullanım olup olmadığını görmek için erişim kayıtlarını inceleyin.
• 3. Temizleyin secret'ı geçmişten kaldırın (ör. git filter-repo) ve zorla gönderin.
• 4. Önleyin tarama ekleyin ve yeniden ortaya çıkmaması için secret'ı bir yöneticinin içine taşıyın.

1. adımı asla atlamayın. Herkese açık bir ortama değen bir secret kesinlikle ele geçirilmiş sayılır.

Gizli bilgiler gereğinden fazla yetkili ve gereğinden fazla paylaşılmış olduğunda dağınıklık daha da kötüleşir. En az ayrıcalık ilkesini uygulamak, bir sızıntı gerçekleştiğinde zararı sınırlar:

• Her hizmete paylaşılan bir kimlik bilgisi yerine kendi kimlik bilgisini verin.
• Her gizli bilginin kapsamını ihtiyaç duyduğu en az izinlerle sınırlayın (salt okunur veya yönetici).
• Otomatik olarak süresi dolan kısa ömürlü kimlik bilgilerini tercih edin.
• Gizli bilgileri ortam başına ayırın; geliştirme anahtarları hiçbir zaman üretim erişimi vermemelidir.

Bu alışkanlıklar, felaket boyutundaki bir ihlali sınırlı ve kurtarılabilir bir olaya dönüştürür.

Araçlar tek başına dağınıklığı çözmez; bunu kültür sağlar. Olgun bir kuruluş, gizli bilgi yönetimini sürekli uygulanan bir disiplin olarak ele alır:

• Varsayılan yaklaşım: kaynak kodunda hiçbir zaman secret bulunmamalıdır.
• Depolamayı erişim denetimi ve denetim kayıtları olan yönetilen bir kasada merkezileştirin.
• Taramayı her aşamada otomatikleştirin: ön kayıt, CI ve kayıt deposu.
• Yenilemeyi yalnızca acil durumlarda yapılan bir işlem olmaktan çıkarıp rutin hâle getirin.
• Her mühendise, açığa çıkma durumlarını suçlama olmadan fark edip bildirmeyi öğretin.

Amaç, bir secret'ın sızdırılmasının zor, sızıntının telafi edilmesinin ise kolay olduğu bir sistem oluşturmaktır.

Sızdırılmış bir secret'ı silmenin neden yeterli olmadığını anlayıp anlamadığınızı sınayın.

Dağınık ve sabit kodlanmış gizli bilgilerin neden en yaygın ve en zarar verici güvenlik zayıflıklarından biri olduğunu öğrendiniz.

• Gizli bilgi dağınıklığı, kimlik bilgilerinin kod, işlem hatları, görüntüler ve sohbetler arasında denetimsiz biçimde yayılmasıdır.
• Sabit kodlanmış gizli bilgiler Git geçmişinde sonsuza kadar kalır; bunları silmek sızıntıyı gidermez.
• Herkese açık depolar dakikalar içinde taranır ve bu durum bulut faturası şoklarına ve ihlallere yol açar.
• Ortam değişkenleri ve görüntü katmanları sızıntıya açık kapsayıcılardır; güvenli depolama alanları değildir.
• Dağınıklık etki alanını büyütür ve yenilemeyi, ayrıca olay müdahalesini imkânsız hâle getirir.
• Çözüm: kayıttan önce tarayın, sızıntı olduğunda önce yenileyin, bir kasada merkezileştirin ve en az ayrıcalık ilkesini uygulayın.

Sırada, kasaları ve gizli bilgi depolarını kullanarak gizli bilgileri düzgün biçimde merkezileştireceğiz.