Sirrin da ke ɓoyewa: Mataki ɗaya zuwa ga disaster

Ba da makullan gidanka ga masu laifi ba shakka ba shine mafi kyawun ra'ayi ba. Amma wannan shine abin da galibi ke faruwa a yawancin ƙungiyoyi waɗanda ke haɓaka software na zamani.

A cikin wannan rubutu na farko game da ɓullar sirri, za mu yi nazari kan dalilin da yasa hakan ke faruwa akai-akai, menene sakamakon, da kuma matakan da za a ɗauka don hana ko rage matsalar da kuma magance matsalolin ɓullar sirri.

Kai! Na tura maɓallan shiga girgije na zuwa wurin ajiyar jama'a

Sirrin da aka ɓoye a cikin lambar tushe ko fayilolin daidaitawa a cikin kayan aikin DevOps na iya ƙarewa a hannun marasa kyau. Idan sirrin shine commitIdan aka ajiye ka a cikin ma'ajiyar kafofin jama'a, tabbas za ka halaka. Amma har ma da ma'ajiyar masu zaman kansu ba ta da aminci, domin ana iya ɓoye sirri ta hanyar binary na aikace-aikace, rajista, ko lambar tushe da aka sace.

Idan aka yi la'akari da baya, yana da ban tsoro sau nawa sakaci mai sauƙi ke haifar da babban keta tsaro. Kawai "google"Maɓallan AWS na ɓoyewa",", "Tambarin shiga na GitHub ya ɓoye", da sauransu. Kada ku ɗauki waɗannan misalan a matsayin ɓoyayyun shawarwari ga wannan ko wancan mai siyarwa. Yi amfani da naku!

Misali, shahararriyar (masu shahara) Harin Codecov na Afrilu 2021 ya yiwu saboda hoton Codecov Docker ya ƙunshi takardun shaidar git waɗanda suka ba wa maharin damar samun damar zuwa ma'ajiyar git na sirri na Codecov da kuma ƙara layi ɗaya a cikin rubutun bash uploader na Codecov don masu canjin yanayin tattarawa da URL na ma'ajiyar git.

Ka tuna cewa wani ɓangare na falalar hare-hare shine sirrin samun damar shiga ƙarin tsarin, kuma hare-hare da yawa suna saka hannun jari sosai akan takaddun shaida, maɓallan crypto da fitar da alamun. 

Matsalar ita ce sirrin da aka rubuta a cikin sirri abu ne da aka saba ganiA watan Maris na 2022, Lapsus $ APT An saki 189GB na lambar tushe ta Samsung da sauran fayiloli masu mahimmanci. Bincike ya nuna cewa yana ɗauke da wasu Sirri 6,600 masu tauri: 90% na tsarin ciki, amma 10% na ayyuka da kayan aiki na waje kamar GitHub, AWS ko Google. Waɗannan sirrin sun haɗa da maɓallan AWS / Twilio / Google API, igiyoyin haɗin bayanai, da sauran bayanai masu mahimmanci. Wannan shine zamani a yawancin tushen lambar.

Boye sirri shine hanya mafi sauƙi don samar da hare-haren sarka

A halin yanzu dogaro da fakiti shine mafi yawan lokuta, kodayake ba shine kawai abin da ake nufi da hare-haren sarkar samar da kayayyaki ba. Mugayen mutane na iya ƙirƙirar sabon fakiti wanda aka shigar a cikin software na waɗanda abin ya shafa (ta amfani da shi) typosquatting da sauran dabaru), amma yawanci suna ƙoƙarin kamuwa da wani kunshin da ke akwai ko dai ta hanyar ƙara gyare-gyare ga lambar tushe a cikin ma'ajiyar software (SCM) kamar GitHub, GitLab ko BitBucket, ko kuma ta hanyar ƙara nau'ikan ɓarna zuwa rajistar jama'a kamar NPM, PyPI, RubyGems, Maven Central.

Amma allurar lambar mugunta ko dogaro mai cutarwa da aka ɓoye a cikin jadawalin dogaro mai rikitarwa yana buƙatar login takardun shaida kamar sunan mai amfani/kalmar sirri, alamun ko maɓallan shiga (bari mu kira su "keys"a takaice), don ma'ajiyar tushen da aka nufa ko rajistar jama'a, bi da bi. 

Mugayen mutane wani lokacin suna samun maɓallan ta hanyar aikin injiniya. The kai hari ga event-stream Shahararren kunshin NPM yana ba da kyakkyawan misali. Amma neman ɓoyewa login Takardun shaida ko maɓallan shiga ita ce dabarar kai hari mafi yawan lokuta don hare-haren sarkar samar da software.

Ma'ajiyar bayanai ta asali da rajistar fakiti sune muhimman tsare-tsare guda biyu a cikin ginin software pipelineAmma akwai kayan aiki da yawa a cikin DevOps: CI/CD tsarin, kayan aikin gudanar da gwaje-gwaje, daidaitawa & samar da atomatik, ko tura & saki. Duk ana iya amfani da su ta hanyar saka lambar mugunta a cikin software. Zubar da maɓallan inganci don waɗannan kayan aikin yana haifar da wahala da wahala kai tsaye. Ka yi tunanin zubar da maɓallan tushen shiga tare da cikakken iko akan albarkatun girgije na jama'a…

Shawarwarin da aka saba

Ba mu ce wani sabon abu a nan ba, kun san wannan. Amma ku ɗauki mataki! Ku tuna cewa bots suna bincika duk jama'a akai-akai SCM wasu shawarwari, ba tare da wani tsari na musamman ba.

• Idan kana da alhakin kula da tsaron IT, bayyana yadda ya kamata a sarrafa sirrin a cikin manufofin tsaro. Amma manufofi suna da kyau kamar aiwatarwa: tabbatar da cewa an aiwatar da ƙa'idar kula da sirri a cikin ƙungiyar ku - gami da ba kawai ƙungiyoyin DevOps ɗinku ba har ma da masu samar da software ɗinku, kuma cewa shirin mayar da martani na abin da ya faru na ƙungiyar ku ya ƙunshi tanade-tanaden abubuwan da suka faru na ɓoye sirri.
• Aiwatar da aiwatarwa ƙididdiga masu yawa-factor (MFA, 2FA ko duk wani kalma mai kama da haka). Kuma babu rage farashi a fannin tsaro: maɓallin tsaro na USB ya cancanci 'yan kuɗin da yake kashewa. Dole ne ka tura duk wani daga cikin dubban takardun shaidarka (mai sauƙi) sannan ka bugu ka bar makullanka a mashaya tare da wani abu da ke da alaƙa da kai (rashin daidaiton ya ɗan yi ƙasa, musamman idan kai mai taurin kai ne).
• Yi amfani da mai sarrafa kalmar sirri mai ƙarfi, kalmar sirri mara ajiya. Don sarrafa sirri a cikin tsarin yi amfani da shi Asirin Taskoki. CI/CD tsarin, masu samar da girgije, SCMs da sauran kayan aikin DevOps suna ba da wannan sabis ɗin, amma kuna iya zaɓar mafita ta Secret Vault ta gama gari.
• fi son gajere Alamun maɓallan shiga na tsawon lokaci. Sun fi sauƙi a soke su kuma a fallasa su ga mugunta.
• Iyakance sake amfani da takardun shaidar: maharan za su sake amfani da takardun shaidar da aka girbe don wani hari zuwa wasu tsarin, wani abu kuma da za a yi amfani da shi wajen amfani da mai sarrafa kalmar sirri. Manajan kalmomin shiga da rumbun adana bayanan sirri ya kamata su sa sake amfani da takardun shaidar ya zama abin tarihi.
• Iyakance da kuma sa ido kan amfani da admin kalmomin shiga. Suna da ƙarfi sosai har sun cancanci a bi diddigin su na musamman.
• Aiwatarwa ƙarfi da hashing da ɓoyewaKomawa ga maɓallan USB (na ɓoye bayanai), tsauraran hanyoyin aika takardun shaida ga abokan hulɗa da abokan aiki, da sauransu.
• Yi amfani da na'urar daukar hoto ta sirri, misali gudu a cikin wani pre-commit ƙugiya don guje wa zubewa a cikin tsarin sarrafa sigar, a matsayin ƙofar tsaro. Kafin abin ya faru yana da mahimmanci a nan. A madadin haka, yi amfani da na'urar daukar hoto ta post-hoc don gano asirin da ya ɓullo, misali a matsayin duba kafin pull request haɗuwa. Lura: Dandalinmu na Xygeni ya haɗa da na'urar daukar hoto ta sirri wacce ke ba da damar duka hanyoyin aiki. 
• Madadin amfani da hannu sake dubawa na lamba neman sirrin da aka yi wa rubutu mai tsauri yana da tsada sosai kuma yana aiki bayan-commit (amma da fatan aƙalla kafin asirin ya isa ga waɗanda ba na waje ba). Amma sake dubawa na iya gano sirrin da ba na al'ada ba waɗanda za su iya guje wa na'urorin daukar hoto na sirri.       
• A guji bazata commitsarrafa fayiloli na yau da kullun tare da sirrin sigar da ta dace cire alamu (kamar samfurin `gitignore`), idan aka yi la'akari da fayiloli kamar .env, .npmrc, .pypirc, fayiloli na wucin gadi… Wani ƙarin matakin tsaro hakika.
• Kuma na ƙarshe a cikin wannan dogon jerin: bari masu samar da girgije su yi bincike don gano ɓullar maɓallan su, idan akwai. Aƙalla, wannan may sanar da ku game da ɓullar bayanai lokacin da ta faru, amma tsaro ya zama dole ga masu samar da girgije. post-hoc Binciken sirri ba shi da cikakken bayani game da inda da kuma sau nawa ake yin binciken, kuma sau da yawa yana buƙatar tsari na musamman, amma tabbas shine hanya ta ƙarshe idan komai ya gaza.

Kai! Na tura maɓallan shiga girgije na zuwa wurin ajiyar jama'a, ɗauki #2

Hakan zai iya faruwa da mafi kyawunmu. Naɗe hannunka!

Sabunta / soke / kashe nan da nan sirrin da ya bazu! Idan asusun yana da ingantaccen MFA to haɗarin ya yi ƙasa sosai. Wannan zai iya zama da wahala misali maɓallan sirri a gidajen yanar gizo (kuna buƙatar fitar da sabon takardar sheda don sabon maɓallin sirri kuma ku soke abin da ke akwai), amma kayan aikin zamani suna da hanya mai sauri don sabunta takaddun shaida ko soke alamun. 

Bi matakan da mai bada shawara ya ba da shawara idan akwai, kamar AWS a cikin wannan misalin.

Gano musabbabin zubar da ruwan. Sanin yadda ya faru yana da mahimmanci don bayyanawa, bincike, tsarewa da ayyukan da aka koya daga darussa.

Sai a kai rahoton zubar da ruwan ga ɓangarorin da abin ya shafa, a bayyana matakan da kuke ɗauka don toshe zubar da ruwan da kuma rage lalacewa. Babu wata hanyar da za a iya magance lalacewar da aka yi, abin da ya zubar ya zube. A yi gaskiya a sanar da wasu domin su ɗauki mataki. 

Sannan fara da forensics. The taga mai fallasa shine lokacin da ke tsakanin ɓullar bayanai da lokacin da sirrin bai inganta ba. Ku kasance a shirye don karanta rajistan ayyukan kuma ku bi diddigin ayyukan da ba a saba gani ba tare da asusun da abin ya shafa a lokacin wannan taga. Cire asusu da maɓallan da aka samar ta amfani da asusun da abin ya shafa. Ku tuna cewa idan asusun da abin ya shafa yana da gata na admin, gyara ya fi rikitarwa. 

Sake rubutawa (sarrafa sigar) tarihin yana da sarkakiya. Har ma da gwamnatocin kama-karya suna ƙoƙarin yin hakan ba tare da wani amfani ba (an yi nufin yin amfani da kalmar "full word"). Kuma wataƙila ba shi da mahimmanci: masu kutse ko bots ɗin da ke kan rumbun adana bayanai na jama'a na iya yin kwafin rumbun adana bayanai ko kuma sun riga sun cire zinaren, musamman idan gilashin ya isa girma. 

Idan kai mai son kasada ne kuma kana son ganin tsawon lokacin da bots ke ɗauka kafin su gano wani sirri da ya ɓoye, to waɗannan tripwires kamar Alamun Canary bari ka gwada. Ka tuna, bots suna saka sunan tsoho a cikin jerin sunayen da ba a san su ba. canarytokens.org yanki…