ሚስጥሮች ይፈሳሉ፡ ወደ ዲኑ አንድ እርምጃsaster

የቤትዎን ቁልፎች ለወንጀለኞች መስጠት በእርግጠኝነት ጥሩ ሀሳብ አይደለም። ነገር ግን ይህ በአብዛኛው የሚከሰተው ዘመናዊ የድርጅት ሶፍትዌር በሚፈጥሩ ድርጅቶች ውስጥ ነው።

በዚህ የመጀመሪያ ጽሑፍ ውስጥ ስለ ሚስጥራዊ ፍሳሾች፣ ይህ ለምን ብዙ ጊዜ እንደሚከሰት፣ መዘዞቹ ምን እንደሆኑ እና ችግሩን ለመከላከል ወይም ለመቀነስ እና ሚስጥራዊ ፍሳሾችን ለመቆጣጠር ምን እርምጃዎች መውሰድ እንዳለብን እንመረምራለን።

ኦህ! የደመና መዳረሻ ቁልፎቼን ወደ ይፋዊ ማከማቻ ገፋሁት

ጠንካራ ኮድ ያላቸው ምስጢሮች በምንጭ ኮድ ወይም በ DevOps መሳሪያዎች ውስጥ ባሉ የውቅር ፋይሎች ውስጥ በመጥፎ እጅ ሊያልቁ ይችላሉ። ምስጢሩ ከሆነ commitበሕዝብ ምንጮች ማከማቻ ውስጥ ከተቀመጡ፣ በእርግጠኝነት ጥፋት ይደርስብዎታል። ነገር ግን የግል ማከማቻዎች እንኳን ደህንነታቸው የተጠበቀ አይደለም፣ ምክንያቱም ምስጢሮች በአፕሊኬሽን ባይነሪዎች፣ ሎጎች ወይም በተሰረቀ የምንጭ ኮድ በኩል ስለሚወጡ።

ወደኋላ መለስ ብለን ስንመለከት፣ የሚያስጨንቅ ነው ቀላል የሆነ ቁጥጥር ወደ ከባድ የደህንነት ጥሰት የሚያመራው ስንት ጊዜ ነው። "ጉግል ብቻ"የAWS ቁልፍ መፍሰስ","የጂቲሆብ መዳረሻ ቶከን መፍሰስ"እና የመሳሰሉት። እነዚህን ምሳሌዎች ለዚህ ወይም ለዚያ ሻጭ እንደ ድብቅ ምክሮች አይውሰዱ። የራስዎን ይጠቀሙ!

ለምሳሌ፣ ታዋቂው (በ) የኮዴኮቭ ጥቃት የኤፕሪል 2021 የኮዴኮቭ ዶከር ምስል አንድ አጥቂ የኮዴኮቭን የግል git ማከማቻዎች እንዲደርስ እና በኮዴኮቭ ባሽ መጫኛ ስክሪፕት ውስጥ ለክምችት አካባቢ ተለዋዋጮች እና ለgit ማከማቻ ዩአርኤሎች አንድ መስመር እንዲያክል የሚያስችል የgit ምስክርነቶችን ስለያዘ ሊሆን ይችላል።

በጥቃቶች ውስጥ ያለው የችሮታ ክፍል ተጨማሪ ስርዓቶችን የማግኘት ሚስጥሮች መሆናቸውን ያስታውሱ፣ እና ብዙ ጥቃቶች በማረጋገጫ መረጃዎች፣ በክሪፕቶ ቁልፎች እና በቶከን ማስወገጃ ላይ ከፍተኛ ኢንቨስት ያደርጋሉ። 

ችግሩ ያ ነው ጠንካራ ኮድ ያላቸው ምስጢሮች የተለመዱ ቦታዎች ናቸውበማርች 2022 የላፕሰስ ዶላር APT 189GB ተለቋል የሳምሰንግ የምንጭ ኮድ እና ሌሎች ሚስጥራዊ ፋይሎች። ትንታኔው እንዳመለከተው አንዳንድ ፋይሎችን ይዟል 6,600 ጠንካራ ኮድ ያላቸው ምስጢሮች: 90% ለውስጣዊ ስርዓቶች፣ ነገር ግን 10% ለውጫዊ አገልግሎቶች እና እንደ GitHub፣ AWS ወይም Google ላሉ መሳሪያዎች። እነዚያ ምስጢሮች AWS / Twilio / Google API ቁልፎችን፣ የውሂብ ጎታ ግንኙነት ሕብረቁምፊዎችን እና ሌሎች ሚስጥራዊ መረጃዎችን ያካትታሉ። ይህ በአብዛኛዎቹ የኮድ መሰረቶች ውስጥ ዘመናዊ ነው።

የሚስጥር ፍንጣቂዎች የሰንሰለት ጥቃቶችን ለማቅረብ ቀላሉ መንገድ ናቸው

የጥቅል ጥገኝነቶች በአሁኑ ጊዜ በጣም የተለመዱ ቢሆኑም የአቅርቦት ሰንሰለት ጥቃቶች ብቸኛ ኢላማ ባይሆኑም። መጥፎዎቹ ሰዎች በተጎጂዎች ሶፍትዌር (በመጠቀም) የተጫነ አዲስ ፓኬጅ መፍጠር ይችላሉ የፊደል አጻጻፍ እና ሌሎች ቴክኒኮችን)፣ ነገር ግን በተለምዶ በሶፍትዌር ማከማቻዎች ውስጥ ባለው የምንጭ ኮድ ላይ ማሻሻያዎችን በመጨመር ነባር ፓኬጅን ለመበከል ይሞክራሉ (SCM) እንደ GitHub፣ GitLab ወይም BitBucket ያሉ ወይም እንደ NPM፣ PyPI፣ RubyGems፣ Maven Central ባሉ የህዝብ መዝገቦች ላይ ተንኮል አዘል ስሪቶችን በመጨመር።

ነገር ግን ውስብስብ በሆነ የጥገኝነት ግራፍ ውስጥ የተደበቀ ተንኮል አዘል ኮድ ወይም ተንኮል አዘል ጥገኝነት ማስገባት ይጠይቃል login እንደ የተጠቃሚ ስም/ይለፍ ቃል፣ ቶከኖች ወይም የመዳረሻ ቁልፎች ያሉ ምስክርነቶች (እንጥራቸው "ቁልፎች"በአጭሩ")፣ ለዒላማው ምንጭ ማከማቻ ወይም ለሕዝብ መዝገብ፣ በቅደም ተከተል። 

መጥፎ ሰዎች አንዳንድ ጊዜ ቁልፉን የሚያገኙት በ በኩል ነው ማህበራዊ ምህንድስና. የ ጥቃት ወደ event-stream ታዋቂው የNPM ጥቅል ጥሩ ምሳሌ ይሰጣል። ነገር ግን የተለቀቀውን መፈለግ login የመረጃ ቋቶች ወይም የመዳረሻ ቁልፎች ለሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶች በጣም ተደጋጋሚ የጥቃት ዘዴ ናቸው።

የምንጭ ማከማቻዎች እና የጥቅል መዝገቦች በሶፍትዌር ግንባታ ውስጥ ሁለት አስፈላጊ ስርዓቶች ናቸው pipelineግን በDevOps ውስጥ ብዙ መሳሪያዎች አሉ፡ CI/CD ስርዓቶች፣ ሙከራዎችን ለማስኬድ የሚያገለግሉ መሳሪያዎች፣ ውቅር እና አቅርቦት አውቶሜሽን፣ ወይም ማሰማራት እና መልቀቅ። ሁሉም በሶፍትዌሩ ውስጥ ተንኮል አዘል ኮድ በማስገባት አላግባብ ሊጠቀሙባቸው ይችላሉ። ለእነዚህ መሳሪያዎች ትክክለኛ ቁልፎችን ማፍሰስ በቀጥታ ወደ መከራ እና ስቃይ ይመራል። በይፋዊ የደመና ሀብቶችዎ ላይ ሙሉ ቁጥጥር ያላቸው የስር መዳረሻ ቁልፎችን ማፍሰስ ያስቡ…

የተለመዱ ምክሮች

እዚህ ምንም አዲስ ነገር አንናገርም፤ ሁላችሁም ይህንን ታውቃላችሁ። ግን እርምጃ ውሰዱ! ቦቶች በመደበኛነት ሁሉንም ህዝብ እየቃኙ መሆናቸውን ያስታውሱ SCM ማከማቻዎች። አንዳንድ ምክሮች፣ ምንም አይነት ቅደም ተከተል የሌላቸው።

• በ IT ደህንነት አስተዳደር ላይ ኃላፊነት ካለብዎት፣ ምስጢሮች እንዴት መያዝ እንዳለባቸው ይግለጹ በደህንነት ፖሊሲው ውስጥ። ነገር ግን ፖሊሲዎች እንደ ማስፈጸሚያ ብቻ ጥሩ ናቸው፡- በድርጅትዎ ውስጥ የሚስጥር አያያዝ መመሪያ መፈጸሙን ያረጋግጡ - የDevOps ቡድኖችዎን ብቻ ሳይሆን የሶፍትዌር አቅራቢዎችዎንም ጨምሮ፣ እና የድርጅትዎ የአደጋ ምላሽ እቅድ የሚስጥር መፍሰስ ክስተቶችን በተመለከተ ድንጋጌዎችን የያዘ መሆኑን ያረጋግጡ።
• መተግበር እና ማስፈጸም የባለብዙ ማጣሪያ ማረጋገጥ (ኤምኤፍኤ፣ 2ኤፍኤ ወይም የትኛውም ምህጻረ ቃል)። እና በደህንነት ላይ ምንም አይነት ቅናሽ የለም፡ የዩኤስቢ የደህንነት ቁልፍ የሚያስከፍለውን ጥቂት ዶላር ዋጋ አለው። በሺዎች የሚቆጠሩ ምስክርነቶችዎን (ቀላል) መጫን እና ከዚያ ሰክረው ቁልፎችዎን በባር ውስጥ ከእርስዎ ጋር የሚያገናኝ ነገር መተው አለብዎት (እድሎች ትንሽ ያነሱ ናቸው፣ በተለይም ቲቶታለር ከሆኑ)።
• ጠንካራ እና ያልተቀመጠ የይለፍ ቃል ያለው የይለፍ ቃል አስተዳዳሪ ይጠቀሙ። በስርዓቶች ውስጥ ምስጢሮችን ለማስተናገድ ይጠቀሙ ሚስጥራዊ ቮልትስ. CI/CD ስርዓቶች፣ የደመና አቅራቢዎች፣ SCMs እና ሌሎች የ DevOps መሳሪያዎች ይህንን አገልግሎት ይሰጣሉ፣ ነገር ግን አጠቃላይ የ Secret Vault መፍትሄን መምረጥ ይችላሉ።
• ተመራጭ አጭር ጊዜ ለረጅም ጊዜ የሚቆዩ የመዳረሻ ቁልፎችን የሚያሳዩ ምልክቶች። ለመሻር እና ለክፉው የበለጠ የተገደበ መስኮት ለማጋለጥ ቀላል ናቸው።
• የምስክርነት ድጋሚ አጠቃቀምን ይገድቡ፦ አጥቂዎች የተሰበሰበውን ምስክርነት ለዒላማ ወደ ሌሎች ስርዓቶች እንደገና ይጠቀማሉ፣ ይህም የይለፍ ቃል አስተዳዳሪን ለመጠቀም ሌላኛው ነጥብ ነው። የይለፍ ቃል አስተዳዳሪዎች እና ሚስጥራዊ ማከማቻዎች የምስክርነት መልሶ መጠቀምን ያለፈ ታሪክ ማድረግ አለባቸው።
• አጠቃቀምን ይገድቡ እና ይከታተሉ አስተዳዳሪ የይለፍ ቃሎች። ልዩ ክትትል የሚገባቸው በቂ ኃይል አላቸው።
• ተግባራዊ ማድረግ ጠንካራ ሃሺንግ እና ኢንክሪፕሽንወደ ዩኤስቢ (ክሪፕቶግራፊክ) ቁልፎች፣ ከአጋሮች እና ከሥራ ባልደረቦች ጋር የምስክር ወረቀቶችን ለማስተላለፍ ጥብቅ ሂደቶች፣ ወዘተ.
• A ሚስጥራዊ ስካነርለምሳሌ በ ውስጥ አሂድ pre-commit ሜንጦ እንደ የደህንነት በር በስሪት ቁጥጥር ስርዓቶች ውስጥ መፍሰስን ለማስወገድ። ከጉዳዩ በፊት እዚህ ላይ አስፈላጊ ነው። በአማራጭ፣ የፈሰሱ ምስጢሮችን ለማግኘት ድህረ-ሆክ ቅኝቶችን ይጠቀሙ ለምሳሌ ከዚህ በፊት እንደ ቼክ pull request ይዋሃዳል። ማሳሰቢያ፡ የXygeni ፕላትፎርማችን ሁለቱንም የአሠራር ሁነታዎች የሚፈቅድ ሚስጥራዊ ስካነር አለው። 
• በእጅ የመጠቀም አማራጭ ኮድ ግምገማዎች ጠንካራ ኮድ ያላቸውን ምስጢሮች መፈለግ ከፍተኛ ወጪ የሚጠይቅ ሲሆን ከስራ በኋላም ይሰራልcommit (ግን ቢያንስ ሚስጥሩ ለውጭ ሰዎች ከመድረሱ በፊት ተስፋ እናደርጋለን)። ነገር ግን ግምገማዎች ስካነሮችን የሚያመልጡ መደበኛ ያልሆኑ ምስጢሮችን ሊለዩ ይችላሉ።       
• በአጋጣሚ ያስወግዱ commitየተለመዱ ፋይሎችን ከስሪት ቁጥጥር ጋር በሚስጥር መያዝ ተገቢ ነው። ቅጦችን አያካትቱ (እንደ `gitignore` ቴምፕሌት)፣ እንደ ፋይሎችን ግምት ውስጥ ማስገባት .env, .npmrc, .pypirc, ጊዜያዊ ፋይሎች… በእርግጥም በደህንነት ሽንኩርት ውስጥ ተጨማሪ ንብርብር።
• እና በዚህ ረጅም ዝርዝር ውስጥ የመጨረሻው፦ የደመና አቅራቢዎች ቁልፎቻቸውን የሚፈሱበትን ቦታ ሲገኙ ቅኝቶችን እንዲያደርጉ ይፍቀዱላቸው። ቢያንስ፣ ይህ ይችላል ስለተፈጠረው ዝርፊያ ያሳውቁዎታል፣ ነገር ግን ለደመና አቅራቢዎች ደህንነት የግድ አስፈላጊ ነው። ድህረ-ኤች ሚስጥራዊ ቅኝት ቅኝቱ የት እና በምን ያህል ጊዜ እንደሚከናወን ብዙም ግልጽ አይደለም፣ እና ብዙውን ጊዜ ግልጽ የሆነ ማዋቀር ያስፈልገዋል፣ ነገር ግን ሁሉም ነገር ሲከሽፍ የመጨረሻው ግብዓት ነው።

ኦህ! የደመና መዳረሻ ቁልፎቼን ወደ ይፋዊ ማከማቻ ገፍቼዋለሁ፣ ቁጥር 2 ውሰድ

ይህ በእኛ ምርጥ ላይ ሊደርስ ይችላል። እጅጌዎን ያንከባልሉ!

የተለቀቀውን ምስጢር ወዲያውኑ ያድሱ / ይሻሩ / ያሰናክሉ! መለያው ጥሩ MFA ካለው አደጋው በጣም ያነሰ ነው። ለምሳሌ በድር ጣቢያዎች ላይ የግል ቁልፎችን መጠቀም የበለጠ ከባድ ሊሆን ይችላል (ለአዲስ የግል ቁልፍ አዲስ የምስክር ወረቀት ማውጣት እና ያለውን መሰረዝ ያስፈልግዎታል)፣ ነገር ግን ዘመናዊ መሳሪያዎች የምስክር ወረቀቶችን ለማደስ ወይም ቶከኖችን ለመሻር ፈጣን መንገድ አላቸው። 

እንደ አገልግሎት ሰጪው ባሉበት ጊዜ እንደሚከተሉት ያሉ ምክሮችን ይከተሉ በዚህ ምሳሌ ውስጥ AWS.

የፍሳሹን መንስኤ ይለዩ። እንዴት እንደተከሰተ ማወቅ ለግልጽነት፣ ለመተንተን፣ ለመቆጣጠር እና በትምህርቶች ለተማሩ ተግባራት አስፈላጊ ነው።

ከዚያም ፍሳሹን ለተጎዱት ወገኖች ሪፖርት ያድርጉ፣ ፍሳሹን ለመዝጋት እና ጉዳትን ለመቀነስ የሚወስዷቸውን እርምጃዎች ያብራሩ። የደረሰውን ጉዳት ለመቀልበስ ምንም መንገድ የለም፣ የፈሰሰው ነገር ተፈትቷል። ግልጽ ይሁኑ እና እርምጃ እንዲወስዱ ለሌሎች ያሳውቁ። 

ከዚያም በ የፎረንሲክ ጥናቶች. የ የተጋላጭነት መስኮት በፍሳሹ እና ሚስጥሩ ትክክለኛ ባልሆነበት ጊዜ መካከል ያለው ጊዜ ነው። በዚያ መስኮት ውስጥ ከተጎዳው መለያ ጋር ምዝግብ ማስታወሻዎችን ለማንበብ እና ያልተለመደ እንቅስቃሴን ለመከታተል ዝግጁ ይሁኑ። በተጎዳው መለያ በመጠቀም የተፈጠሩ መለያዎችን እና ቁልፎችን ያስወግዱ። የተጎዳው መለያ የአስተዳዳሪ መብቶች ካሉት ማስተካከያው በጣም የተወሳሰበ መሆኑን ያስታውሱ። 

የስሪት ቁጥጥር ታሪክን እንደገና መጻፍ (የእትም ቁጥጥር) ውስብስብ ነው። አምባገነን መንግሥታት እንኳን ይህንን ሞክረው ምንም ውጤት አላስገኙም (የቃላት ምጸት የታሰበበት) እና ምናልባትም ምንም ለውጥ የማያመጣ ሊሆን ይችላል፡ ጠላፊዎች ወይም በሕዝብ ማከማቻዎች ላይ ያሉት ቦቶች ሬፖውን ቀድመው አውጥተውት ሊሆን ይችላል፣ በተለይም የተጋላጭነት መስኮቱ በቂ መጠን ያለው ከሆነ። 

ጀብደኛ ከሆኑ እና ቦቶች የፈሰሰውን ምስጢር ለማግኘት ምን ያህል ጊዜ እንደሚወስድባቸው እራስዎ ማየት ከፈለጉ፣ እንደ ትሪፕዋይሎች ያሉ የካናሪ ቶከኖች እንድትሞክሩት ፍቀዱ። ያስታውሱ፣ ቦቶች ነባሪውን ጥቁር መዝገብ ውስጥ ያስገባሉ canarytokens.org ዶሜይን…