At injicere miljøvariabler i byggeprocessen er en standard praksis i moderne CI/CD pipelines. Teams indsætter miljøvariabler i byggeprocessen for at overføre hemmeligheder, tokens og runtime-konfiguration til builds uden hardcode-værdier. På overfladen ser dette ud til at være et simpelt og sikkert mønster.
I praksis bliver det dog ofte en af de mest undervurderede risici i softwareforsyningskæden.
Fordi når teams først injicerer miljøvariabler i byggeprocessen, holder disse værdier op med at være isolerede. De bliver tilgængelige for alt, der kører indeni. pipelineByggescripts, CLI-værktøjer, tredjepartshandlinger og endda afhængigheder kan læse dem.
Det er her, tingene begynder at gå i stykker.
I denne guide gennemgår vi, hvordan teams injicerer miljøvariabler i byggeprocessen i virkeligheden. pipelines, hvor lækager rent faktisk opstår, og hvordan man sikrer byggeprocessen uden at forsinke udviklingen.
Hvad det betyder at injicere miljøvariabler i byggeprocessen
I sin kerne betyder indsprøjtning af miljøvariabler at sende værdier ind i en pipeline under kørsel, så job kan tilgå dem under udførelse.
Disse værdier omfatter typisk API-nøgler, databaselegitimationsoplysninger, tokens eller miljøspecifik konfiguration. I stedet for at gemme dem direkte i koden, CI/CD Systemet indlæser dem dynamisk, når build'et starter.
Dette løser et reelt problem. Det holder koden ren, undgår dobbeltarbejde og tillader det samme. pipeline at køre på tværs af staging-, test- og produktionsmiljøer.
Denne model er imidlertid afhængig af en antagelse, der ikke længere holder: at byggemiljøet er kontrolleret og forudsigeligt.
Moderne pipelines er ingen af delene. De omfatter flere trin, eksterne integrationer og afhængigheder, der udfører kode dynamisk. Som et resultat, når en variabel først er injiceret, er den ikke længere bare konfiguration. Den bliver en del af udførelseskonteksten.
Hvor miljøvariabler lækker i byggeprocessen
De fleste lækager sker ikke, fordi nogen eksplicit afslører en hemmelighed. De sker fordi pipelineopfører sig på måder, som udviklerne ikke fuldt ud forudser.
For eksempel kan en udvikler aktivere detaljeret logføring for at fejlfinde et fejlbehæftet build. Et CLI-værktøj kan udskrive miljøvariabler som en del af sit output. En afhængighed kan tilgå procesvariabler lydløst som en del af sin udførelse.
Ingen af disse handlinger ser mistænkelige ud i sig selv. Sammen skaber de dog flere lækageveje.
Hemmeligheder kan ende i:
- opbygge logfiler, der gemmes og indekseres
- fejlfindingsoutput delt på tværs af teams
- tredjeparts CI-handlinger, der kører ekstern kode
- afhængigheder, der udføres under installation eller kørsel
- midlertidige artefakter genereret under byggeriet
Når en hemmelighed først dukker op i logfiler, forbliver den sjældent skjult. Logfiler kopieres, gemmes og opbevares på tværs af flere systemer. På det tidspunkt rækker eksponeringen langt ud over originalen. pipeline.
Derfor opdages lækager fra miljøvariable ofte sent, og efter at skaden allerede er sket.
Hvorfor teams indsætter miljøvariabler i byggeprocessen
Trods disse risici er teams i høj grad afhængige af indsprøjtning af miljøvariabler. Og med god grund.
Det muliggør pipelines for at forblive fleksibel. En enkelt arbejdsgang kan tilpasse sig forskellige miljøer, godkende mod flere tjenester og ændre adfærd dynamisk uden at ændre koden.
I hurtigt skiftende DevOps-miljøer er denne fleksibilitet afgørende. Fleksibilitet kommer dog altid med kompromiser. Jo mere dynamisk en pipeline Jo vanskeligere det bliver, desto vanskeligere er det at kontrollere, hvad der sker indeni. Hvert ekstra trin, integration eller afhængighed øger antallet af steder, hvor følsomme data kan tilgås.
Som følge heraf skifter injektion af miljøvariabler fra at være en konfigurationsdetalje til et sikkerhedsproblem.
Almindelige risici, når du injicerer miljøvariabler i byggeprocessen
Risiciene er ikke teoretiske. De forekommer i virkeligheden. pipelinehver dag.
Hemmeligheder siver ind i logfiler
Logs er en af de mest almindelige eksponeringskilderFejlfindingsflag, CLI-værktøjer og stakspor afslører ofte følsomme værdier uden at udviklere bemærker det.
Når disse værdier først er blevet eksponeret, spreder de sig hurtigt på tværs af systemer.
Overpermissiv adgang
Mange pipelines udsætter alle variabler for alle job. Dette skaber unødvendig risiko.
Hvis ét trin bliver kompromitteret, kan det få adgang til legitimationsoplysninger, som det faktisk ikke har brug for.
Afhængighed og handlingsmisbrug
Moderne pipelineer i høj grad afhængige af tredjepartsværktøjer og integrationer. Disse komponenter kører i det samme miljø som dine hemmeligheder.
Hvis en af dem opfører sig ondsindet, kan den tilgå injicerede variabler lydløst.
Ifølge OWASPAngreb på forsyningskæden udnytter ofte betroede komponenter i byggeprocessen. Miljøvariabler bliver ofte det nemmeste mål.
Fallback-hemmeligheder i kode
Når builds mislykkes på grund af manglende variabler, tilføjer teams nogle gange fallback-værdier for at bevare pipelineløber.
Med tiden bliver disse værdier committed eller implementeret, hvilket skaber langvarig eksponering.
Bedste praksisser til sikker indsættelse af miljøvariabler i byggeprocessen
| Kategori | Best Practice | Hvorfor det drejer sig om |
|---|---|---|
| Opbevaring af hemmeligheder | Brug en Vault- eller CI-hemmelighedsadministrator | Forhindrer eksponering i kode |
| Adgangskontrol | Begræns adgang pr. job | Reducerer angrebsoverfladen |
| Logning | Maskefølsomme værdier | Forhindrer lækager |
| Omfang og levetid | Brug kortlivede legitimationsoplysninger | Begrænser eksplosionsradius |
| Validering | Fejl i builds, hvis variabler mangler | Undgår usikre fallbacks |
Hvorfor mange CI/CD Sikkerhedsværktøjer Miss Env Var Lækager
De fleste sikkerhedsværktøjer fokuserer på at scanne kode eller afhængigheder, når buildet er færdigt.
Der sker dog lækager af miljøvariabler under udførelsen.
A pipeline kan injicere hemmeligheder korrekt og stadig eksponere dem via logfiler eller runtime-adfærd. Når en scanner registrerer problemet, kan hemmeligheden allerede være kompromitteret.
Dette skaber et hul mellem opsporing og forebyggelse.
Hold har brug for kontroller, der fungerer, mens pipeline kører, ikke efter den er færdig.
Sådan anbefaler vi at sikre injektion af miljøvariabler
I praksis afhænger effektiv beskyttelse af et par konsistente principper.
Gem hemmeligheder uden for pipelineInjicer dem kun under kørsel. Begræns adgangen til det minimalt krævede omfang. Brug kortlivede legitimationsoplysninger, når det er muligt.
Samtidig skal man overvåge, hvordan pipelines adgangsfølsomme værdier. Uventede adgangsmønstre indikerer ofte risiko, før en lækage bliver synlig.
Denne tilgang flytter sikkerheden fra reaktiv detektion til proaktiv kontrol.
Hvordan Xygeni hjælper med at beskytte CI/CD Hemmelig injektion
I stedet for kun at stole på scanning efter opbygning, analyserer Xygeni hvordan pipelines bruger miljøvariabler, når de kører. Dette inkluderer, hvordan hemmeligheder bevæger sig på tværs af job, hvordan byggetrin tilgår dem, og hvordan afhængigheder interagerer med udførelsesmiljøet.
For eksempel kan Xygeni registrere, hvornår en pipeline eksponerer variabler for bredt, når et trin risikerer at udskrive følsomme værdier i logfiler, eller når en afhængighed uventet forsøger at få adgang til legitimationsoplysninger.
På samme tid, guardrails håndhæve politikken direkte i pipelineTeams kan blokere usikre builds, begrænse hemmelig adgang til bestemte job og forhindre risikable konfigurationer, før de når produktion.
Fordi dette sker inden for CI/CD arbejdsgang, udviklere behøver ikke at ændre deres arbejdsmetoder. Sikkerhed bliver en del af pipeline, ikke et separat trin.
Som følge heraf får teams indsigt i, hvordan hemmeligheder bruges, kontrollerer, hvordan de eksponeres, og reducerer risikoen for lækager uden at forsinke leveringen.
Afsluttende tanker
Det introducerer dog også et risikolag, som ofte går ubemærket hen.
Udfordringen er ikke, om man skal bruge miljøvariabler, men hvordan man kontrollerer deres eksponering under udførelsen.
I moderne DevOps-miljøer er det langt vigtigere at forhindre lækager under byggeprocessen end at opdage dem bagefter.
