‫J'utilise les secrets de Docker pour mes mots de passe, mais
‫cela crée simplement un fichier RAM dans le conteneur.
‫Si quelqu'un pirate le conteneur, il peut voir le
‫fichier exactement comme le fait mon application.
‫Oui et non.
‫Génial. Nous continuerons à parler. Y a-t-il une
‫meilleure façon de faire cela? Crypter le contenu du secret?
‫Puis déchiffrez à l'intérieur de l'application d'une manière qu'un pirate informatique
‫ne pourrait pas comprendre.
‫La réalité ici
‫est que votre application doit avoir son secret quelque part, et
‫elle ne sera pas chiffrée en mémoire, d'accord.
‫Tout ce que je sais qui déchiffre des données
‫chiffrées, le déchiffre en mémoire. Si un hacker a
‫la racine dans votre conteneur, il sera
‫alors en mesure d'obtenir ce contenu.
‫S'ils sont assez avertis, ils pourront obtenir ce
‫genre de choses, juste.
‫La première étape consiste à ne pas exécuter votre application en tant
‫que root dans le conteneur.
‫Ensuite, ils ne peuvent pas utiliser n'importe quoi
‫en dehors de l'application. Dans le conteneur, ils ne peuvent
‫pas exécuter d’autres utilitaires système capables de lire toute la mémoire, n’est-ce pas?
‫La deuxième chose, c’est qu’il ya vraiment, le moyen
‫le plus sûr que nous ayons vu, c’est quelque chose comme le coffre-fort
‫et les mots de passe à usage unique où ils sont
‫créés, ils sont utilisés par votre application, puis ils sont
‫jetés et non plus. bien. La réalité est que la plupart des gens
‫ne sont pas prêts pour cela. La plupart des applications des gens ne peuvent pas gérer ça.
‫Vous savez, vous ne pouvez pas faire pivoter une clé d'API Twitter toutes
‫les cinq minutes pour chaque application lancée, non.
‫Des trucs comme ça. La meilleure chose à
‫faire est d’empêcher ce fichier d’être en permanence sur
‫le disque.
‫Une sécurité Kubernetes
‫et Docker, ces ... Les secrets désolés, les secrets Kubernetes
‫et les secrets Swarm sont parmi les meilleurs moyens que
‫j'ai jamais vus pour trouver un moyen de stocker
‫les mots de passe sur un faux
‫fichier en RAM. Vous pouvez définir ces autorisations pour qu'elles
‫ne soient lisibles que par votre application, n'est-ce pas?
‫Donc, si quelqu'un entre avec un utilisateur différent, non pas que
‫vous ayez nécessairement un utilisateur différent
‫dans le conteneur, mais vous pouvez verrouiller ces utilisateurs afin qu'ils soient en
‫lecture seule, qu'ils ne soient lisibles que par l'utilisateur c'est
‫votre application. C'est le genre de choses, non.
‫Donc, c'est vraiment ça.
‫La seule chose que j'ai mieux vue, les stocke toujours en
‫mémoire, les stocke toujours non cryptés.
‫Il ne les stocke tout simplement pas localement.
‫Vous devez donc utiliser une API distante telle que
‫Vault, Vashi de HashiCorp ou un autre système fournissant des mots de
‫passe à usage unique. Mais encore une fois, ces éléments devraient
‫être intégrés à l’ensemble du système. Il faudrait concevoir
‫le tout. Et c'est beaucoup de travail, d'accord.
‫Tandis que, en utilisant les secrets de Kubernetes et
‫Swarm, vous pouvez généralement vous en occuper le même
‫jour, comme il convient. Vous pouvez implémenter cela pour à peu
‫près n'importe quelle application, même si elle doit les définir en tant que variables d'environnement,
‫car les applications plus anciennes nécessitent des éléments dans les variables d'environnement.
‫Ainsi, vous pouvez les avoir dans des secrets et ensuite, au moment
‫de l'exécution, les vider de ces secrets dans des
‫variables d'environnement, le cas échéant. Mais, je dirais que
‫99% du temps, mes clients consultants traitent des applications héritées.
‫Quand je parle d'héritage, je parle vraiment de tout ce
‫qui précède les conteneurs, c'est-à-dire la plupart des applications.
‫Nous avons passé 30 ans à créer des applications
‫sans conteneurs avant de les avoir.
‫Donc, nous avons beaucoup de choses régulières.
‫Ainsi, la plupart des équipes cherchent simplement à insérer des éléments dans des
‫conteneurs et à les stocker chiffrés sur disque, n'est-ce pas?
‫S'ils sont sur le disque, ils sont cryptés.
‫Kubernetes et Swarm peuvent le faire.
‫Je pense que si vous utilisez des secrets, vous valez déjà
‫mieux que 99% des personnes que je vois, car très peu de
‫personnes utilisent l'orchestration et utilisent également des secrets.
‫C'est un très petit groupe, un groupe de personnes.
‫Donc, oui, je pense que vous êtes plutôt bon là-bas.