แทรกตัวแปรสภาพแวดล้อมเข้าสู่กระบวนการสร้างอย่างปลอดภัย

จุดที่ตัวแปรสภาพแวดล้อมรั่วไหลในกระบวนการสร้างโปรแกรม

การรั่วไหลของข้อมูลส่วนใหญ่ไม่ได้เกิดขึ้นเพราะมีคนเปิดเผยความลับโดยเจตนา แต่เกิดขึ้นเพราะ... pipelineตัวแปร s มีพฤติกรรมที่นักพัฒนาซอฟต์แวร์คาดไม่ถึงอย่างเต็มที่

ตัวอย่างเช่น นักพัฒนาอาจเปิดใช้งานการบันทึกแบบละเอียดเพื่อแก้ไขข้อผิดพลาดในการสร้างโปรแกรม เครื่องมือ CLI อาจพิมพ์ตัวแปรสภาพแวดล้อมเป็นส่วนหนึ่งของผลลัพธ์ และไลบรารีที่พึ่งพาอาจเข้าถึงตัวแปรของกระบวนการโดยไม่แจ้งให้ทราบล่วงหน้าในระหว่างการทำงาน

การกระทำแต่ละอย่างดูไม่น่าสงสัยเมื่อพิจารณาแยกกัน แต่เมื่อรวมกันแล้วจะสร้างช่องโหว่หลายช่องทาง

ความลับอาจจบลงที่:

• บันทึกการสร้างที่ถูกจัดเก็บและจัดทำดัชนี
• ข้อมูลการแก้ไขข้อผิดพลาดที่แชร์ระหว่างทีม
• การดำเนินการ CI ของบุคคลที่สามที่เรียกใช้โค้ดภายนอก
• ส่วนประกอบที่จำเป็นซึ่งทำงานระหว่างการติดตั้งหรือขณะใช้งาน
• สิ่งตกค้างชั่วคราวที่เกิดขึ้นระหว่างการสร้าง

เมื่อความลับปรากฏในบันทึกแล้ว มักจะไม่ถูกจำกัดอยู่แค่ในบันทึกเท่านั้น บันทึกจะถูกคัดลอก จัดเก็บ และเก็บรักษาไว้ในหลายระบบ ณ จุดนั้น การรั่วไหลของข้อมูลจะขยายวงกว้างออกไปไกลเกินกว่าที่เดิมจะรับรู้ได้ pipeline.

นี่จึงเป็นเหตุผลว่าทำไมการรั่วไหลของตัวแปรสภาพแวดล้อมจึงมักถูกค้นพบช้า และหลังจากที่ความเสียหายเกิดขึ้นแล้ว

เหตุใดทีมจึงแทรกตัวแปรสภาพแวดล้อมเข้าไปในกระบวนการสร้างโปรแกรม

ถึงแม้จะมีความเสี่ยงเหล่านี้ ทีมต่างๆ ก็ยังพึ่งพาการฉีดตัวแปรสภาพแวดล้อมอย่างมาก และก็มีเหตุผลที่ดีด้วย

มันเปิดใช้งาน pipelineเพื่อให้มีความยืดหยุ่น เวิร์กโฟลว์เดียวสามารถปรับให้เข้ากับสภาพแวดล้อมต่างๆ ยืนยันตัวตนกับบริการหลายอย่าง และเปลี่ยนแปลงพฤติกรรมแบบไดนามิกโดยไม่ต้องแก้ไขโค้ด

ในสภาพแวดล้อม DevOps ที่เปลี่ยนแปลงอย่างรวดเร็ว ความยืดหยุ่นนี้เป็นสิ่งสำคัญ อย่างไรก็ตาม ความยืดหยุ่นมักมาพร้อมกับข้อแลกเปลี่ยน ยิ่งมีความเปลี่ยนแปลงมากเท่าไหร่ ความยืดหยุ่นก็ยิ่งมากขึ้นเท่านั้น pipeline ยิ่งซับซ้อนมากเท่าไหร่ การควบคุมสิ่งที่เกิดขึ้นภายในก็ยิ่งยากขึ้นเท่านั้น ทุกขั้นตอน การบูรณาการ หรือการพึ่งพาที่เพิ่มเข้ามา จะเพิ่มจำนวนสถานที่ที่สามารถเข้าถึงข้อมูลที่ละเอียดอ่อนได้

ด้วยเหตุนี้ การแทรกตัวแปรสภาพแวดล้อมจึงเปลี่ยนจากรายละเอียดการกำหนดค่าไปเป็นปัญหาด้านความปลอดภัย