‫ฉันใช้รหัสลับของ Docker สำหรับรหัสผ่านของฉัน แต่นี่เป็นเพียงการสร้างไฟล์
‫RAM ในคอนเทนเนอร์
‫หากมีคนแฮ็กเข้าไปในคอนเทนเนอร์ พวกเขาสามารถเห็นไฟล์ได้เหมือนกับที่แอปพลิเคชันของฉันเห็น
‫ใช่และไม่.
‫ยอดเยี่ยม. เราจะพูดต่อไป มีวิธีใดที่ดีกว่าในการทำเช่นนี้?
‫เข้ารหัสเนื้อหาของความลับ?
‫จากนั้นถอดรหัสภายในแอปพลิเคชันในลักษณะที่แฮ็กเกอร์ไม่สามารถเข้าใจได้
‫ความจริงที่นี่คือแอปพลิเคชันของคุณต้องมีความลับอยู่ที่ใดที่หนึ่ง และมันจะถูกเข้ารหัสในหน่วยความจำ
‫ใช่ไหม
‫ทุกสิ่งที่ฉันรู้คือการถอดรหัสสิ่งที่เข้ารหัส มันกำลังถอดรหัสมันในหน่วยความจำ
‫หากแฮ็กเกอร์มีรูทในคอนเทนเนอร์ของคุณ
‫มันก็จะสามารถรับสิ่งนั้นได้
‫ถ้าพวกมันฉลาดพอ พวกเขาจะได้สิ่งนั้นใช่ไหม
‫ขั้นตอนแรกคือการไม่เรียกใช้แอปพลิเคชันของคุณในฐานะรูทในคอนเทนเนอร์
‫จากนั้นพวกเขาไม่สามารถทำอะไรนอกแอปพลิเคชันได้
‫พวกเขาไม่สามารถเรียกใช้ยูทิลิตี้ระบบอื่น
‫ๆ ในคอนเทนเนอร์ที่อาจอ่านหน่วยความจำทั้งหมดได้ใช่ไหม
‫อย่างที่สองคือมีจริงๆ วิธีที่ปลอดภัยที่สุดที่ฉันคิดว่าเราเคยเห็นคือบางอย่างเช่นห้องนิรภัยและรหัสผ่านแบบใช้ครั้งเดียวที่สร้างขึ้น
‫แอปของคุณใช้ และจากนั้นก็ทิ้งและเลิกใช้
‫ดี. ความจริงก็คือคนส่วนใหญ่ไม่พร้อมสำหรับสิ่งนั้น
‫แอพของคนส่วนใหญ่ไม่สามารถจัดการกับสิ่งนั้นได้
‫คุณรู้ คุณไม่สามารถหมุนคีย์ Twitter API ทุก ๆ ห้านาทีสำหรับทุกแอปที่เปิดตัวได้
‫ของแบบนี้. สิ่งที่ดีที่สุดรองลงมาคือการป้องกันไม่ให้ไฟล์นั้นอยู่บนดิสก์อย่างถาวร
‫ความปลอดภัยของ Kubernetes
‫และความปลอดภัยของ Docker... ความลับขอโทษ ความลับของ
‫Kubernetes และความลับของ Swarm เป็นวิธีที่ดีที่สุดที่ฉันเคยเห็นมาเพื่อหาวิธีจัดเก็บรหัสผ่านในไฟล์ปลอมใน
‫RAM คุณสามารถตั้งค่าการอนุญาตเหล่านั้นเพื่อให้แอปของคุณสามารถอ่านได้เท่านั้น
‫ดังนั้น ถ้ามีใครเข้าไปยุ่งกับผู้ใช้คนอื่น ไม่ใช่ว่าคุณต้องมีผู้ใช้อื่นในคอนเทนเนอร์
‫แต่คุณสามารถล็อกผู้ใช้เหล่านั้นเพื่อให้อ่านได้อย่างเดียว ให้ผู้ใช้อ่านได้เท่านั้น
‫นั่นคือแอปของคุณ
‫นั่นคือสิ่งที่ถูกต้อง
‫นั่นเป็นอย่างนั้นจริงๆ
‫สิ่งเดียวที่ฉันเห็นดีกว่าคือเก็บไว้ในหน่วยความจำ ยังคงเก็บไว้โดยไม่มีการเข้ารหัส
‫มันไม่ได้เก็บไว้ในเครื่อง
‫ดังนั้น คุณต้องใช้ API ระยะไกล เช่น Vault, Vault ของ
‫HashiCorp หรือระบบอื่นๆ ที่ส่งรหัสผ่านแบบใช้ครั้งเดียว
‫แต่อีกครั้ง
‫สิ่งเหล่านั้นจะต้องถูกสร้างขึ้นทั่วทั้งระบบของคุณ คุณต้องออกแบบทั้งหมด
‫และนั่นเป็นงานเยอะมาก
‫ในขณะที่ใช้ความลับใน Kubernetes และ Swarm คุณสามารถทำสิ่งนั้นให้เสร็จได้ในวันเดียวกันใช่ไหม
‫คุณสามารถใช้สิ่งนั้นกับแอพใดก็ได้
‫แม้ว่าจะต้องตั้งค่าให้เป็นตัวแปรสภาพแวดล้อมเนื่องจากแอปพลิเคชันรุ่นเก่าต้องการสิ่งต่าง
‫ๆ ในตัวแปรสภาพแวดล้อม
‫ดังนั้น คุณสามารถมีข้อมูลเหล่านี้ในความลับ จากนั้น ให้ทิ้งความลับเหล่านั้นลงในตัวแปรสภาพแวดล้อมในขณะใช้งานจริง
‫หากคุณต้องการ แต่ฉันจะบอกว่า 99% ของเวลาทั้งหมด
‫ลูกค้าที่ปรึกษาของฉัน พวกเขากำลังจัดการกับแอปพลิเคชันรุ่นเก่า
‫เมื่อฉันพูดถึงมรดก ฉันหมายถึงทุกอย่างก่อนคอนเทนเนอร์
‫ซึ่งเป็นแอปพลิเคชันส่วนใหญ่ใช่ไหม
‫เราใช้เวลา 30 ปีในการสร้างแอปพลิเคชันที่ไม่มีคอนเทนเนอร์ก่อนที่เราจะมี
‫ดังนั้นเราจึงมีสิ่งปกติมากมาย
‫ดังนั้น ทีมส่วนใหญ่กำลังมองหาวิธีที่จะนำสิ่งของเข้าคอนเทนเนอร์และจัดเก็บโดยเข้ารหัสบนดิสก์ใช่ไหม
‫หากอยู่บนดิสก์ แสดงว่ามีการเข้ารหัส
‫Kubernetes และ Swarm สามารถทำได้ทั้งคู่
‫ฉันคิดว่าถ้าคุณกำลังใช้ความลับ คุณก็ดีกว่า 99%
‫ของคนที่ฉันเห็นอยู่แล้ว เพราะมีเพียงไม่กี่คนที่ใช้การประสานกันและใช้ความลับด้วย
‫เป็นกลุ่มเล็ก ๆ มาก ๆ เป็นกลุ่มคน
‫ใช่ ฉันคิดว่าคุณค่อนข้างดีที่นั่น