Довгоживучі ключі доступу

Що таке Довгоживучі ключі доступу?

Статичний ключ доступу ніколи не спливає, і саме ця єдина властивість робить його вразливістю. За обліковими даними, які рік працюють без проблем, ніхто не стежить, а ключ, закладений у конвеєр збірки, найчастіше й витікає. Ви візьмете ключ із публічного журналу збірки, переконаєтеся, що через кілька місяців він усе ще проходить автентифікацію, і прочитаєте секрет продакшн-бази даних. Одне лише відкликання не вирішує проблеми: коли конвеєр перестає працювати, йому зазвичай видають новий статичний ключ, тож ви напишете політику довіри, яка через федерацію видає короткочасні облікові дані на кожен запуск.

Що ви дізнаєтесь у Довгоживучі ключі доступу

• Враховуйте: статичний ключ не має строку дії, тож проміжок між витоком і зловживанням обмежує лише те, що хтось помітить проблему.
• Пам'ятайте, що витікає той ключ, який закладено в конвеєр, і він зазвичай переживає того, хто його створив.
• Використовуйте федерацію: вона видає короткочасні облікові дані на кожен запуск, тож немає довговічного секрету, який можна викрасти.
• Замінюйте розкриті облікові дані у два кроки: відкличте їх і видайте робочу заміну. Самого відкликання замало: воно зупинить конвеєр, і його доведеться скасувати.

Довгоживучі ключі доступу — Кроки навчання

1. Ключ, який хтось випадково опублікував

   Боб не зламує компанії. Він збирає облікові дані, які компанії вже випадково оприлюднили, і пробує їх пізніше, бо більшість із них досі діє. Marnvex забезпечує роботу платформ даних клінічних випробувань для фармацевтичних спонсорів. Її система збірки публікує журнали консолі, а Боб їх читає.

2. Додайте ключ до профілю

   Ключ корисний, лише коли його підключено до клієнта. Боб записує пару в іменований локальний профіль так само, як будь-який інженер налаштовує другий обліковий запис.

3. Чи ще працює ключ

   Перше запитання — чи ключ узагалі ще проходить автентифікацію. Боб ставить найпростіше з можливих запитань.

4. Що відкриває ключ

   Ідентичність CI нічим не примітна, але вона існує, щоб розгортати, а отже, може читати те, що потрібно застосунку для роботи. Боб просить у неї збережені облікові дані продакшн-бази даних. У Боба є облікові дані продакшн-бази даних, отримані з ключа, що витік кілька місяців тому.

5. Чому вразливістю став час

6. Виклики API з невідомого нам джерела

   Моніторинг Marnvex фіксує, що користувач CI виконує виклики з адреси, якої досі не бачив.

7. Знайдіть ключ

   Почати варто з самого ключа: який його вік, коли його востаннє використовували і чи був у нього колись строк дії.

8. Скільки ключ уже існує

   Ключ CI — той, що викликав тривогу.

9. Без строку дії, 241 день

   Власний запис про ключ пояснює, чому витік у квітні наприкінці серпня досі залишається інцидентом.

10. Вимкніть ключ

    Спершу — локалізація. Відкликання ключа зупиняє Боба посеред інциденту й ненадовго порушить роботу CI, і це виправдана ціна, поки злам іще триває. Заміна — наступним кроком.