הזרקת משתני סביבה לתהליך הבנייה היא standard תרגול במודרני CI/CD pipelineצוותים מזריקים משתני סביבה לתהליך הבנייה כדי להעביר סודות, טוקנים ותצורת זמן ריצה לתוך מערכות הבנייה ללא קידוד קשיח של ערכים. על פני השטח, זה נראה כמו דפוס פשוט ובטוח.
עם זאת, בפועל, לעתים קרובות זה הופך לאחד הסיכונים הכי פחות מוערכים בשרשרת האספקה של התוכנה.
מכיוון שברגע שצוותים מזריקים משתני סביבה לתהליך הבנייה, ערכים אלה מפסיקים להיות מבודדים. הם הופכים לנגישים לכל מה שפועל בתוכו. pipelineבניית סקריפטים, כלי ממשק שורת פקודה (CLI), פעולות של צד שלישי ואפילו תלויות יכולות לקרוא אותם.
כאן הדברים מתחילים להישבר.
במדריך זה, נסביר כיצד צוותים מזריקים משתני סביבה לתהליך הבנייה בפועל. pipelineהיכן מתרחשות דליפות בפועל, וכיצד לאבטח את תהליך הבנייה מבלי להאט את הפיתוח.
מה המשמעות של הזרקת משתני סביבה לתהליך הבנייה
בליבתה, הזרקת משתני סביבה פירושה העברת ערכים לתוך pipeline בזמן ריצה כך שמשימות יוכלו לגשת אליהן במהלך הביצוע.
ערכים אלה כוללים בדרך כלל מפתחות API, אישורי מסד נתונים, טוקנים או תצורה ספציפית לסביבה. במקום לאחסן אותם ישירות בקוד, ה- CI/CD המערכת טוענת אותם באופן דינמי כאשר הבנייה מתחילה.
זה פותר בעיה אמיתית. זה שומר על קוד נקי, מונע כפילויות ומאפשר את אותו הדבר. pipeline לרוץ בסביבות בייצור, בדיקות וייצור.
עם זאת, מודל זה מסתמך על הנחה שאינה מתקיימת עוד: שסביבת הבנייה נשלטת וצפויה.
מודרני pipelines אינם אף אחד מהם. הם כוללים שלבים מרובים, אינטגרציות חיצוניות ותלויות שמבצעות קוד באופן דינמי. כתוצאה מכך, ברגע שמשתנה מוזרק, הוא כבר לא רק תצורה. הוא הופך לחלק מהקשר הביצוע.
היכן משתני סביבה דולפים בתהליך הבנייה
רוב ההדלפות לא קורות בגלל שמישהו חושף במפורש סוד. הן קורות בגלל pipelineמתנהגים בדרכים שמפתחים לא צפו אותן במלואן.
לדוגמה, מפתח עשוי לאפשר רישום מפורט כדי לאתר באגים בבנייה כושלת. כלי ממשק שורת פקודה (CLI) עשוי להדפיס משתני סביבה כחלק מהפלט שלו. תלות עשויה לגשת למשתני תהליך באופן שקט כחלק מהביצוע שלה.
אף אחת מהפעולות הללו לא נראית חשודה בפני עצמה. עם זאת, יחד הן יוצרות נתיבי דליפה מרובים.
סודות יכולים להסתיים ב:
- בניית יומני רישום המאוחסנים ומאונדקסים
- פלט ניפוי שגיאות משותף בין צוותים
- פעולות CI של צד שלישי שמריצות קוד חיצוני
- תלויות שפועלות במהלך ההתקנה או בזמן הריצה
- חפצים זמניים שנוצרו במהלך הבנייה
ברגע שסוד מופיע ביומנים, הוא לעיתים רחוקות נשאר כלול. יומנים מועתקים, מאוחסנים ונשמרים במערכות מרובות. בנקודה זו, החשיפה חורגת הרבה מעבר למקור. pipeline.
זו הסיבה שדליפות משתני סביבה מתגלות לעתים קרובות מאוחר, ולאחר שהנזק כבר נגרם.
מדוע צוותים מזריקים משתני סביבה לתהליך הבנייה
למרות סיכונים אלה, צוותים מסתמכים במידה רבה על הזרקת משתני סביבה. ומסיבה טובה.
זה מאפשר pipelineכדי להישאר גמישים. זרימת עבודה אחת יכולה להסתגל לסביבות שונות, לאמת מול שירותים מרובים ולשנות התנהגות באופן דינמי מבלי לשנות את הקוד.
בסביבות DevOps מתפתחות במהירות, גמישות זו חיונית. עם זאת, גמישות תמיד מגיעה עם פשרות. ככל שדינמי יותר... pipeline ככל שהדבר הופך להיות קשה יותר, כך קשה יותר לשלוט במה שקורה בתוכו. כל שלב, אינטגרציה או תלות נוספים מגדילים את מספר המקומות שבהם ניתן לגשת למידע רגיש.
כתוצאה מכך, הזרקת משתני סביבה עוברת מפרט תצורה לדאגה ביטחונית.
סיכונים נפוצים בעת הזרקת משתני סביבה לתהליך הבנייה
הסיכונים אינם תיאורטיים. הם מופיעים במציאות pipelineכל יום.
סודות דולפים לתוך יומני רישום
יומני רישום הם אחד מהם מקורות החשיפה הנפוצים ביותרדגלי ניפוי שגיאות, כלי ממשק שורת פקודה (CLI) ומעקבי מחסנית (stack traces) חושפים לעיתים קרובות ערכים רגישים מבלי שמפתחים שמים לב לכך.
לאחר חשיפתם, ערכים אלה מתפשטים במהירות בין מערכות.
גישה מתירנית יתר על המידה
רב pipelineחושפים את כל המשתנים לכל העבודות. זה יוצר סיכון מיותר.
אם שלב אחד נפגע, הוא יכול לגשת לאישורים שהוא לא באמת צריך.
תלות והתעללות בפעולה
מודרני pipelineמסתמכים במידה רבה על כלים ואינטגרציות של צד שלישי. רכיבים אלה פועלים באותה סביבה כמו הסודות שלך.
אם אחד מהם מתנהג בצורה זדונית, הוא יכול לגשת למשתנים מוזרקים בשקט.
לפי OWASP, מתקפות שרשרת אספקה מנצלות לעתים קרובות רכיבים מהימנים בתהליך הבנייה. משתני סביבה הופכים לעתים קרובות למטרה הקלה ביותר.
סודות גיבוי בקוד
כאשר בניות נכשלות עקב משתנים חסרים, צוותים לפעמים מוסיפים ערכי גיבוי כדי לשמור pipelineרץ.
עם הזמן, ערכים אלה הולכים וגדלים commitנפרס או נפרס, ויוצר חשיפה ארוכת טווח.
שיטות עבודה מומלצות להחדרת משתני סביבה לתהליך הבנייה בצורה מאובטחת
| קטגוריה | התרגול הטוב ביותר | למה זה משנה |
|---|---|---|
| אחסון סודות | השתמש בכספת או במנהל סודות CI | מונע חשיפה בקוד |
| בקרת גישה | הגבלת גישה לכל משימה | מפחית את משטח ההתקפה |
| רישום | ערכים רגישים למסכה | מונע דליפות |
| היקף ומשך חיים | השתמש באישורים קצרי מועד | מגביל את רדיוס הפיצוץ |
| בדיקת מערכות | בניית בנייה נכשלת אם משתנים חסרים | מונע גיבויים לא בטוחים |
למה רבים CI/CD כלי אבטחה של Miss Env Var Leaks
רוב כלי האבטחה מתמקדים בסריקת קוד או תלויות לאחר השלמת הבנייה.
עם זאת, דליפות משתני סביבה מתרחשות במהלך הביצוע.
A pipeline יכול להזריק סודות בצורה נכונה ועדיין לחשוף אותם דרך יומני ריצה או התנהגות בזמן ריצה. עד שהסורק יזהה את הבעיה, ייתכן שהסוד כבר נפגע.
זה יוצר פער בין גילוי למניעה.
צוותים זקוקים לבקרות שפועלות בזמן ש... pipeline רץ, לא אחרי שזה נגמר.
כיצד אנו ממליצים לאבטח הזרקת משתני סביבה
בפועל, הגנה יעילה מסתכמת בכמה עקרונות עקביים.
שמור סודות מחוץ ל pipelineהזריקו אותם רק בזמן ריצה. הגבל את הגישה להיקף המינימלי הנדרש. השתמשו באישורים קצרי מועד ככל האפשר.
במקביל, יש לעקוב אחר האופן שבו pipelineערכים רגישים לגישה. דפוסי גישה בלתי צפויים מצביעים לעיתים קרובות על סיכון לפני שדליפה הופכת לגלויה.
גישה זו מעבירה את האבטחה מגילוי ריאקטיבי לבקרה פרואקטיבית.
כיצד Xygeni מסייע בהגנה CI/CD הזרקה סודית
במקום להסתמך רק על סריקה לאחר הבנייה, Xygeni מנתחת כיצד pipelineמשתמשים במשתני סביבה בזמן שהם פועלים. זה כולל כיצד סודות עוברים בין משימות, כיצד שלבי בנייה ניגשים אליהם, וכיצד תלויות מקיימות אינטראקציה עם סביבת הביצוע.
לדוגמה, Xygeni יכול לזהות מתי pipeline חושף משתנים באופן רחב מדי, כאשר שלב מסוים מסתכן בהדפסת ערכים רגישים לתוך יומני רישום, או כאשר תלות מנסה לגשת לאישורים באופן בלתי צפוי.
באותו הזמן, guardrails לאכוף את המדיניות ישירות ב pipelineצוותים יכולים לחסום בניות לא בטוחות, להגביל גישה סודית למשימות ספציפיות ולמנוע תצורות מסוכנות לפני שהן מגיעות למצב הייצור.
מכיוון שזה קורה בתוך ה CI/CD זרימת עבודה, מפתחים אינם צריכים לשנות את אופן עבודתם. אבטחה הופכת לחלק מה pipeline, לא שלב נפרד.
כתוצאה מכך, צוותים מקבלים נראות לגבי אופן השימוש בסודות, שולטים באופן החשיפה שלהם ומפחיתים את הסיכון לדליפות מבלי להאט את המסירה.
מחשבות סופיות
עם זאת, זה גם מציג שכבת סיכון שלעתים קרובות אינה מורגשת.
האתגר אינו האם להשתמש במשתני סביבה, אלא כיצד לשלוט בחשיפתם במהלך הביצוע.
בסביבות DevOps מודרניות, מניעת דליפות במהלך תהליך הבנייה חשובה הרבה יותר מאשר גילוי שלהן לאחר מכן.
