ʻO ke kumu, ʻo ia ke kumu o DevSecOps palekana. ʻO kēlā me kēia ʻōnaehana palekana (inā he CI/CD pipeline, hoʻolaha ao, a i ʻole enterprise noi) e hilinaʻi mau ana i kēia mea koʻikoʻi. ʻO ia ka ʻāpana ʻike ʻole ʻia e mālama pono i ka ʻikepili, hōʻoia i ka ʻoiaʻiʻo, a hōʻoia i nā mea hoʻohana a i ʻole nā lawelawe i ʻae ʻia e hiki ke komo i ka ʻike koʻikoʻi. ʻO ka ʻike ʻana i ke kī hoʻopāʻālua a pehea e hoʻokele pono ai ʻaʻole ia he ʻāpana o ka hana a kēlā me kēia loea DevSecOps; he mea nui ia i ke kūkulu ʻana ka palekana i kēlā me kēia pae o ke ola polokalamu.
No laila he aha kahi kī hoʻopāpā a no ke aha he mea nui? #
He kaula ia o nā bits i hoʻohana ʻia e nā algorithms cryptographic e hoʻololi i ka ʻikepili i kahi ʻano i pale ʻia. Ke kamaʻilio mākou e pili ana i ka hoʻopāʻālua kī, ke kuhikuhi nei mākou i ke kaʻina hana e hoʻololi i ka ʻikepili i hiki i ke kī kūpono wale nō ke hoʻihoʻi iā ia i kona kūlana mua.
E noʻonoʻo iā ia he ʻōlelo huna kū hoʻokahi e laka a wehe i kāu ʻikepili. Me ka ʻole o ia mea, ʻaneʻane hiki ʻole ke heluhelu ʻia ka ʻike i hoʻopāʻālua ʻia (ʻoiai inā hiki i kekahi ke kāohi iā ia).
Mālama kēia mau kī i nā mea āpau: nā mea huna API, nā hōʻoia waihona ʻikepili, nā mea hana kūkulu, a me nā ʻikepili hoʻonohonoho koʻikoʻi. Mai ka hoʻopaʻa ʻana i nā mea huna i loko o nā hui Kubernetes a hiki i ka hoʻopāʻālua ʻana i nā bākeke S3 a i ʻole CI/CD nā hōʻailona, hoʻomaka nā mea āpau me ke kī kūpono a me nā hana hoʻopāʻālua kī kani.
Pehea e hana ai ka hoʻopāʻālua kī? #
Ma kahi pae kiʻekiʻe, pili mau ka hoʻopāʻālua i ʻelua mau ʻanuʻu:
- Hoʻopunipuni: Hoʻololi ʻia ka ʻikepili plaintext i ciphertext me ka hoʻohana ʻana i kahi kī hoʻopāʻālua kikoʻī.
- Decryption: Hoʻololi ʻia ka ciphertext i ʻikepili hiki ke heluhelu ʻia me ka hoʻohana ʻana i ke kī like a i ʻole ke kī pili.
Hiki i kēia ʻano hana ke hahai i ʻelua mau hiʻohiʻona o ka hoʻopāʻālua kī, symmetric a me asymmetric, kēlā me kēia me kāna mau kālepa ponoʻī. I kēia manawa e luʻu kākou i loko o ka mea symmetric!
Hoʻopāpā kī Symmetric #
I ka hoʻopāʻālua symmetric, hoʻohana ʻia ke kī hoʻopāʻālua like no ka hoʻopāʻālua ʻana a me ka wehe ʻana i nā ʻikepili. He wikiwiki, kūpono i ka helu ʻana, a kūpono hoʻi no ka pale ʻana i nā ʻikepili nui a i ʻole ke kamaʻilio kūloko kahi i kaʻana like ai nā ʻaoʻao ʻelua i kahi mea huna hilinaʻi.
Eia nō naʻe, ʻo ka pilikia nui ma ʻaneʻi ka hoʻolaha kī palekana. Inā ʻae kekahi i ke kī, hiki iā lākou ke wehe i nā ʻikepili pili āpau. ʻO ia ke kumu e pono ai i nā hui DevSecOps ke mālama i ka lawe ʻana a me ka mālama ʻana i nā kī me ke akahele loa, ʻoiai inā lākou e hana nei me nā polokalamu hana aunoa. pipelines a i ʻole nā wahi i hoʻolaha ʻia.
ʻO nā algorithms symmetric maʻamau e komo pū me AES (Advanced Encryption Standard) a me 3DES (Triple DES). Hoʻohana pinepine ʻia kēia mau mea e hoʻopaʻa i nā kiʻi ipu, ke kamaʻilio lawelawe-a-lawelawe, a i ʻole ka ʻikepili i waiho ʻia i loko o ka waihona ao.
ʻOiai ʻoi aku ka maʻalahi o ka hoʻokō ʻana i ka hoʻopāʻālua symmetric, hilinaʻi nui kona palekana i ka mālama ʻana i kēlā kī huna hoʻokahi. E hoʻomau kākou me ka hoʻopāʻālua asymmetric!
Hoʻopāʻālua ʻAsymmetric: Hoʻopāʻālua Kī Lehulehu vs. Pilikino #
ʻO ke kumu hoʻohālike hoʻopāʻālua kī lehulehu vs pilikino (ʻike ʻia hoʻi he asymmetric encryption) e hoʻoponopono i ka pilikia hoʻolaha ma ka hoʻohana ʻana i ʻelua kī ma kahi o hoʻokahi.
- Hoʻokaʻawale manuahi ʻia ke kī lehulehu a hoʻohana ʻia e hoʻopāʻālua i ka ʻikepili
- Mālama ʻia ke kī pilikino a hoʻohana ʻia e wehe iā ia
Hōʻoia kēia ʻano hana ʻoiai inā hōʻike ʻia ke kī lehulehu, ʻaʻohe mea hiki ke wehe i ka ʻikepili me ka ʻole o ke kī pilikino pili. Ma DevSecOps, ʻo ka hoʻopāʻālua lehulehu vs pilikino ke kākoʻo nei i ka hōʻoia SSH, nā palapala hōʻoia TLS, a me ke kau inoa ʻana i ka pūʻolo palekana.
Ke hoʻokuke ʻoe i ke code i GitHub ma o SSH a hoʻokumu paha i kahi pilina HTTPS, ʻo ka hoʻopāʻālua lehulehu vs. pilikino ka mea e palekana ai kēlā hoʻololi. Hiki iā ia ke hōʻoia i ka ʻike, ka pono o ka leka, a me ka hūnā ʻikepili, me ka ʻole o ka kaʻana like ʻana i nā mea huna ma waena o nā pūnaewele.
ʻO nā algorithm e like me RSA a me Elliptic Curve Cryptography (ECC) ke kumu o ka hoʻopāʻālua kī lehulehu vs. pilikino. ʻOi aku ka lohi o lākou ma mua o nā ʻano symmetric akā he mea nui no ka hoʻokumu ʻana i ka hilinaʻi ma waena o nā lawelawe a i ʻole nā mea hoʻohana ma mua o ka hoʻololi ʻana i nā kī symmetric wikiwiki.
Hoʻokele Kī: Ka Papa Palekana i Nānā ʻole ʻia #
ʻAʻole lawa ka hoʻomaopopo ʻana i ke ʻano o kahi kī hoʻopāʻālua; ʻo ka mālama pono ʻana i nā kī ka pilikia maoli. Hiki i nā hana hoʻopāʻālua maikaʻi ʻole ke alakaʻi i nā uhaki nui, ʻoiai inā he kīnā ʻole ka algorithm hoʻopāʻālua ponoʻī.
1. Hana Kī #
E hana mau i nā kī me ka hoʻohana ʻana i nā mea hana helu random palekana cryptographically (CSPRNGs). ʻO nā kī i wānana ʻia a i ʻole nā kī i hoʻohana hou ʻia e hoʻopilikia i ka ʻōnaehana holoʻokoʻa.
2. Mālama Kī #
Mai hoʻopaʻa i kahi kī hoʻopāʻālua i kāu polokalamu, kiʻi ipu, a i ʻole waihona. E hoʻohana i nā ʻōnaehana hoʻokele kī ao (AWS KMS, Azure Key Vault, Google Cloud KMS) a i ʻole nā mea hana hoʻokele huna i hoʻolaʻa ʻia e like me HashiCorp Vault.
3. Ka Hoʻohuli ʻana i ke Kī #
Pono e hoʻohuli pinepine ʻia nā kī. Hoʻemi ka hoʻohuli ʻakomi i ka hōʻike ʻana a hōʻoia i ka mālama ʻana i nā ʻōnaehana e like me PCI-DSS, ISO 27001, a me GDPR.
4. Mana Komo Kī #
E hoʻohui i kāu waihona kī me nā kulekele IAM a i ʻole RBAC. ʻO nā lawelawe a i ʻole nā mea hoʻohana e pono maoli i kahi kī wale nō ke loaʻa iā ia.
5. Ka luku ʻana i ke kī #
Ke ʻole e pono hou nā kī, pono e luku pono ʻia. ʻO ka mālama ʻana i nā kī i hoʻohana ʻole ʻia hiki ke hana i nā vectors hoʻouka leo ʻole i nā wahi DevSecOps lōʻihi.
ʻAʻole wale ka hoʻokele hoʻopāʻālua kī he hana maikaʻi loa; he kaohi ia no nā kaulahao lako polokalamu hou.
Nā Kī Hoʻopāʻālua ma nā Kahe Hana DevSecOps #
Ma DevSecOps, noho lākou ma ke kihi o ka hoʻomohala ʻana, ka palekana, a me nā hana. Eia ke ʻano o kā lākou hana ma ka hana maoli:
- Hooponopono huna: Pono e hoʻopāʻālua ʻia nā hōʻailona API, nā palapala hōʻoia, a me nā hōʻoia me ka hoʻohana ʻana i nā ʻano hoʻopāʻālua koʻikoʻi ma mua o ka hoʻokomo ʻia ʻana i loko pipelines a i ʻole nā wahi holo manawa.
- Hoʻolālā e like me ke code: Mai hoʻokomo i nā kī maka i loko o nā template Terraform, Ansible, a i ʻole Helm. Akā, e kuhikuhi pono iā lākou mai nā hale kūʻai kī i mālama ʻia.
- CI/CD Pipelines: E hoʻohuli pinepine i nā kī kūkulu a hoʻolaha, a hoʻohana i nā palapala hōʻoia pōkole no nā wahi ephemeral.
- Kūʻai a hoʻokō: E hahai i ka hoʻohana ʻana i nā kī a me nā hanana hoʻololi. ʻO ka nānā ʻana i ka mea nāna i komo a hoʻololi paha i kahi kī hoʻopāʻālua e kōkua i ka ʻike mua ʻana i ka hoʻohana pono ʻole.
Manaʻo kahi hui DevSecOps makua i ka lawelawe ʻana i nā kī hoʻopāʻālua ma ke ʻano he ʻāpana o kāna ʻano hana automation, ʻaʻole loa he mea ma hope.
Hoʻopāʻālua Kī Lehulehu vs. Pilikino i nā hiʻohiʻona honua maoli #
No ka hoʻomaopopo maikaʻi ʻana i ka hoʻopāʻālua lehulehu vs pilikino, e noʻonoʻo i kahi e hoʻoikaika ai i kāu ʻoihana:
- Nā Palapala Hōʻoia TLS/SSL: E pale i ke kaʻa pūnaewele me ka hoʻohana ʻana i ka hoʻopāʻālua asymmetric ma waena o nā mea kūʻai aku a me nā kikowaena.
- Hōʻoia SSH: Hōʻoia nā mea hoʻomohala me ka hoʻohana ʻana i ka hoʻopāʻālua kī lehulehu a pilikino paha me ka ʻole o ka hoʻouna ʻana i nā ʻōlelo huna.
- Nā pūlima kikohoʻe: Nā mea hana polokalamu a me ke code commithiki ke kau inoa ʻia ʻo s me ka hoʻohana ʻana i nā kī pilikino, e hōʻoiaʻiʻo ana i ka ʻoiaʻiʻo i ka wā o ka hoʻolaha ʻana.
- Hoʻopāʻālua Leka Uila: Hoʻohana nā ʻōnaehana e like me PGP i ka hoʻopāʻālua lehulehu a pilikino paha e hoʻopaʻa i ka ʻike o ka leka mai ka ʻaoʻao a i ka hopena.
Hōʻike kēlā me kēia o kēia mau laʻana i ke ʻano hohonu o ka ulana ʻia ʻana o nā kī hoʻopāʻālua i nā hana palekana o kēlā me kēia lā.
No laila, ʻike anei ʻoe i ke kumu he mea nui lākou i ka palekana o DevSecOps? #
Inā he manaʻo hoʻokahi e pono i kēlā me kēia ʻenekinia palekana ke hoʻokomo i loko, ʻo ia ke ʻano o kahi kī hoʻopāʻālua a pehea e hiki ai i kāna hoʻokele ke hana a uhaki paha i ka palekana ma ka pae nui. ʻO ka pilikino o ka ʻikepili koʻikoʻi, ka pono o ke code pipelines, a me ka ʻoiaʻiʻo o nā hoʻolaha hana aunoa e pili ana i ka hoʻopāʻālua i hana pololei ʻia.
Me ka ʻole o ka mana kī hoʻopaʻa, ʻaʻohe pono o nā algorithms hoʻopāʻālua ikaika. Hiki i kahi kī i hoʻokahe ʻia a lawelawe hewa ʻia paha ke hōʻike i ka ʻikepili o ka mea kūʻai aku, hoʻopilikia i nā ʻōnaehana, a hoʻopau i ka hilinaʻi i nā hoʻolaha hana aunoa.
ʻO nā hana hoʻopāʻālua lehulehu ikaika vs. pilikino, i hui pū ʻia me ka loiloi mau a me ka hoʻololi kī aunoa, e hana i kahi papa pale ikaika e kūlike pono me nā kumumanaʻo DevSecOps, ka palekana ma ka hoʻolālā a ma ka paʻamau.
I ka hōʻuluʻulu manaʻo… #
ʻOi aku kahi Kī Hoʻopāpā ma mua o kahi ʻāpana mea cryptographic. E like me kā mākou i ʻike ai, ʻo ia ke kumu o ka hoʻouna ʻana i nā polokalamu palekana.
E hōʻuluʻuluʻia:
- ʻO ka ʻike i ke ʻano o ia mea e hiki ai i nā hui DevSecOps ke hoʻomaopopo pehea e pale ʻia ai ka ʻikepili mai ka hoʻomaka a i ka hopena.
- ʻO nā hana hoʻopāʻālua kī kūpono e hōʻoiaʻiʻo ʻaʻole hilinaʻi ka palekana i ka hūnā wale nō, akā, i ka kaohi hoʻopaʻa a me ka automation.
- ʻO ka hoʻokō ʻana i nā hiʻohiʻona hoʻopāʻālua kī lehulehu vs pilikino e hoʻoikaika i ka hōʻoia, ka pono, a me ka hilinaʻi ma waena pipelines.
Ma DevSecOps, he mea nui ka palekana ʻana i nā kī no ka pale ʻana i nā mea āpau e hilinaʻi nei iā ia, me kāu code, ʻōnaehana, a me ka hopena, ka inoa o kāu hui.
