Μυστική διαχείριση

Μυστική διαχείριση

1) Γιατί και τι ακριβώς θεωρούμε «μυστικό»

Απόρρητο - κάθε υλικό του οποίου η αποκάλυψη οδηγεί σε συμβιβασμό του συστήματος ή των δεδομένων: κωδικοί πρόσβασης, μάρκες API, ιδιωτικά κλειδιά OAuth/JWT, πλήκτρα SSH, πιστοποιητικά, κλειδιά κρυπτογράφησης (KEK/DEK), κλειδιά υπογραφής webhook, βάσεις δεδομένων DSN N N κλειδιά πωλητή (πληρωμές, πάροχοι ταχυδρομείου/SMS), άλατα cookie/πιπέρι, μάρκες bot/chat, άδειες.
Τα μυστικά ζουν μέσα στον κώδικα, μια διάταξη, ένα περιβάλλον, εικόνες εμπορευματοκιβωτίων, CI/CD, Terraform/Anable, κούτσουρα/χωματερές - ένα καθήκον διαχείρισης των μυστικών: λογαριασμός αποθήκευση παράδοση χρήση εναλλαγή απόκρισης αξιοποίηση του ελέγχου.

2) Αρχές αρχιτεκτονικής

Συγκεντρωτισμός. Ένα αξιόπιστο στρώμα (Vault/Cloud Secret Manager/KMS) για αποθήκευση, έκδοση και έλεγχο.
Ελάχιστα δικαιώματα (PoLP). Πρόσβαση μόνο στις απαραίτητες υπηρεσίες/ρόλους, για ελάχιστη περίοδο.
Σύντομη ζωή. Προτιμώνται τα δυναμικά/χρονικά μυστικά με TTL/μίσθωση.
Crypto-ευκινησία. Ικανότητα αλλαγής αλγορίθμων/μήκους κλειδιών χωρίς downtime.
Διαχωρισμός μυστικών από κώδικα/εικόνες. Χωρίς κωδικούς πρόσβασης στα αρχεία καταγραφής, χωρίς εικόνες Docker.
Παρατηρησιμότητα και έλεγχος. Κάθε πράξη έκδοσης/ανάγνωσης μυστικών καταγράφεται και διαγράφεται.
Αυτόματη περιστροφή. Η εναλλαγή είναι μια διαδικασία που βρίσκεται σε εξέλιξη και όχι μια χειροκίνητη ενέργεια.

3) Τυπικές λύσεις και ρόλοι συνιστωσών

KMS/HSM. Εμπιστοσύνη ρίζας, κρυπτογράφηση/βασικές εργασίες περιτύλιξης (περίβλημα).
Μυστικός διαχειριστής/θησαυροφυλάκιο. Κατάστημα μυστικών εκδόσεων, ACL, έλεγχος, δυναμικά μυστικά (DB, cloud-IAM, PKI), πρότυπα περιστροφής.
PKI/CA. Έκδοση βραχύβιων υπογραφών mTLS/SSH/JWT.
Πράκτορας/sidecar. Παράδοση μυστικών σε χρόνο λειτουργίας (tmpfs, in-memory k/v, hot-reload files).
Οδηγοί/χειριστές CSI. Ενσωμάτωση με το Kubernetes (Secret Store CSI Driver, cert-manager).
Στρώμα κρυπτογράφησης στο Git. SOPS/ηλικία, κρύπτη git (για τον κωδικό υποδομής).

4) Ταξινόμηση και πολιτική

• TTL/συχνότητα μίσθωσης και εναλλαγής·
• μέθοδος εξόδου (δυναμική έναντι στατική), μορφότυπος, μέσα·
• πολιτική πρόσβασης (ποιος/πού/πότε/γιατί), mTLS και απαιτήσεις αμοιβαίας επαλήθευσης ταυτότητας·
• έλεγχος (ότι καταγράφουμε πόσα αποθηκεύουμε, ποιος εξετάζει)·
• Διαδικασίες θραύσης και ανάκλησης.

5) Μυστικός κύκλος ζωής

1. Δημιουργία: μέσω του API του μυστικού διαχειριστή με μεταδεδομένα (ιδιοκτήτης, ετικέτες, πεδίο εφαρμογής).
2. Αποθήκευση: κρυπτογραφημένη (φάκελος: DEK περιτυλιγμένη με KEK από KMS/HSM).
3. Παράδοση: κατόπιν αιτήματος εξουσιοδοτημένου φορέα (OIDC/JWT, SPIFFE/SVID, mTLS).
4. Χρήση: αποκλειστικά στη μνήμη/σε tmpfs. απαγόρευση υλοτομίας/χωματερών.

5. Περιστροφή: ανά TTL ή συμβάν (συμβιβασμός). Υποστήριξη παράλληλων εκδόσεων (N-1)

6. Ανάκληση/παρεμπόδιση: άμεση λήξη της μίσθωσης, λογαριασμός/απενεργοποίηση κλειδιού στο σύστημα-στόχο.
7. Απόρριψη: καταστροφή εκδόσεων/υλικού, σαφής αλυσίδα ελέγχου.

6) Δυναμικά μυστικά (συνιστάται εξ ορισμού)

• Διαπιστευτήρια βάσεων δεδομένων (Postgres/MySQL) με TTL 15-60 λεπτά.
• Προσωρινά σύννεφα (AWS/GCP/Azure) ανά ρόλο υπηρεσίας.
• πιστοποιητικά SSH (5-30 λεπτά), πιστοποιητικά X.509 (ώρα/ημέρα).
• Προσωρινή JWT για υπογραφή αιτήσεων, μεσίτες εισιτηρίων συνεδρίας.
• Υπέρ: ελάχιστη ακτίνα έκρηξης, απλοποιημένη ανάκληση (τίποτα δεν θα «παραμείνει» στον κόσμο).

7) Παράδοση μυστικών σε χρόνο λειτουργίας

• Secret Store CSI Driver → τοποθέτηση μυστικών από εξωτερικό διαχειριστή σε κάψουλα ως αρχεία (tmpfs).
• Αποφύγετε το Kubernetes Secret ως τη μοναδική πηγή (βάση 64 ≠ κρυπτογράφηση); Αν είναι απαραίτητο, ενεργοποιήστε τον πάροχο KMS για κλπ.
• Πράκτορας Sidecar (Vault Agent/Secrets Store) με αυτόματη μίσθωση και επαναφόρτωση.
• VM/Bare-metal: παράγοντας συστήματος + mTLS σε θησαυροφυλάκιο/μυστικό διαχειριστή, κρυφή μνήμη, ελάχιστη TCB.
• Serverless: ενσωμάτωση σύννεφων με διαφανή υποκατάσταση μυστικών ως περιβαλλοντικές μεταβλητές/αρχεία, αλλά αποφύγετε μακρόβια περιβάλλοντα - κατά προτίμηση αρχεία/στη μνήμη.

Παράδειγμα (Kubernetes + CSI, εννοιολογικά)

yaml apiVersion: v1 kind: Pod metadata: { name: app }
spec:
serviceAccountName: app-sa # is associated with a role in Secret Manager volumes:
- name: secrets csi:
driver: secrets-store. csi. k8s. io readOnly: true volumeAttributes:
secretProviderClass: app-spc containers:
- name: app volumeMounts:
- mountPath: /run/secrets name: secrets readOnly: true

8) Ενότητες CI/CD και IaC

CI: οι εργαζόμενοι λαμβάνουν βραχύβιες μάρκες σύμφωνα με το OIDC (Ταυτότητα φόρτου εργασίας). Απαγόρευση των «μασκοφόρων» μυστικών που εισέρχονται στα αρχεία καταγραφής. βαθμιδωτή «σάρωση διαρροής» (trufflehog/gitleaks).
CD: Η ανάπτυξη παίρνει μυστικά τη στιγμή της απεικόνισης, δεν τα γράφει σε αντικείμενα.
IaC: Η Terraform αποθηκεύει μεταβλητές στο Secret Manager. η κατάσταση είναι κρυπτογραφημένη και η πρόσβαση περιορισμένη.
SOPS/ηλικία: για repos - αποθήκευση κρυπτογραφημένων δηλωτικών, κλειδιών - υπό τον έλεγχο του KMS.

Παράδειγμα (θραύσμα SOPS)

yaml apiVersion: v1 kind: Secret metadata: { name: app }
data:
PASSWORD: ENC[AES256_GCM,data:...,sops:...]
sops:
kms:
- arn: arn:aws:kms:...
encrypted_regex: '^(data    stringData)$'
version: '3. 8. 0'

9) Πολιτικές πρόσβασης και επαλήθευση του φόρτου εργασίας

Ταυτότητα φόρτου εργασίας: SPIFFE/SPIRE, Kubernetes SA→OIDC→IAM - роль, mTLS.
Προσωρινές μάρκες: σύντομη TTL, περιορισμένη εμβέλεια.
ABAC/RBAC στο Secret Manager: «ποιος μπορεί να διαβάσει το X μυστικό στο περιβάλλον Y» είναι ξεχωριστός από «ποιος μπορεί να δημιουργήσει/περιστρέψει».
Πολυπλοκότητα: ξεχωριστοί χώροι ονομάτων/δακτύλιοι κλειδιών ανά ενοικιαστή. μεμονωμένες πολιτικές και υποβολή εκθέσεων.

10) Εναλλαγή, εκδόσεις και συμβατότητα

Διαχωρίστε την μυστική ταυτότητα και την έκδοσή της ('secret/app/db # v17').
Υποστήριξη δύο ενεργών εκδόσεων (N και N-1) για περιστροφή χωρίς διακοπή.
Η εναλλαγή βασίζεται σε γεγονότα: σε απόλυση, συμβιβασμό, αλλαγή παρόχου, μετάβαση αλγορίθμων.

Αυτόματη λειτουργία: περιστροφή cron/backend στο θησαυροφυλάκιο/μυστικός διαχειριστής + ενεργοποιήσεις webhook για επανεκκίνηση εφαρμογής/νεφρική

Mini συνταγή «δύο κλειδιών» περιστροφή webhook

text
T0: we publish two secrets in the provider: current, next
T1: the application starts accepting signatures by both current and next
T2: external system switches signature to next
T3: we do next -> current, re-release new next

11) Αποθήκευση εκτός λειτουργίας: αντίγραφα ασφαλείας και τεχνουργήματα

Ποτέ μην μπαίνετε σε αντικείμενα (εικόνες, αρχεία καταγραφής, χωματερές).
Αντίγραφα ασφαλείας μυστικού διαχειριστή - κρυπτογράφηση, κλειδιά αποθήκευσης εκτός του ίδιου βρόχου (διαχωρισμός καθηκόντων).
Ετικέτες και σαρώσεις DLP: ανίχνευση μυστικών σε αντικείμενα S3/Blob/GCS, Git, CI.

12) Παρατηρησιμότητα, λογιστικός έλεγχος και SLO

Μετρήσεις: αριθμός εκδόσεων/μυστικών/υπηρεσιών, μερίδιο της ληγμένης μίσθωσης, μέσος όρος TTL, χρόνος εναλλαγής, χρόνος σύγκλισης (δευτερόλεπτα/λεπτά πριν από την «αποδοχή» της νέας έκδοσης).
Αρχεία καταγραφής ελέγχου: ποιος/τι/πότε/πού/γιατί· αποθήκευση χωριστά, κρυπτογραφημένη επίσης.
SLO: 99% έξοδος <200 ms· 0 διαρροές σε κορμούς· το 100% των μυστικών έχουν ιδιοκτήτη/TTL/ετικέτες· 100% κρίσιμα μυστικά - δυναμική ή εναλλαγή ≤ 30 ημερών.
Καταχωρίσεις: το μυστικό λήγει <7 ημέρες (για στατικές), ακίδα σε αποτυχίες εξακρίβωσης της ταυτότητας αποθήκευσης, κανένα μυστικό δεν διαβάζει> N ημέρες (νεκρό), απροσδόκητες πηγές γεω/ASN.

13) Συχνά λάθη και τρόπος αποφυγής τους

Μυστικά σε Git/εικόνες. Χρήση SOPS/ηλικίας και σαρωτών. πολιτική για την απαγόρευση των «γυμνών» γραμμών.
Το περιβάλλον ως μακροπρόθεσμο μέσο. Δώστε προτίμηση στα αρχεία tmpfs/in-memory; καθαρίζει το περιβάλλον σε πιρούνια/χωματερές.
Ίδια μυστικά για dev/stage/prod. Διαιρείται με το περιβάλλον.
Μακρόβιος στατικός κωδικός πρόσβασης. Μετάβαση σε δυναμική/βραχύβια.
Ένα απλό κύριο κλειδί "για τα πάντα. "Διαιρέστε ανά ενοικιαστή/έργο/υπηρεσία.
Καμία επαναφόρτωση. Η εφαρμογή απαιτεί επανεκκίνηση → παραθύρου ευπάθειας κατά τη διάρκεια της περιστροφής.

14) Παραδείγματα ολοκλήρωσης (σχηματικά)

Δυναμική πρόσβαση Vault Postgres

hcl
Vault: role -> issues the user to the database with TTL 30m and privileges only to the app path "database/creds/app-role" {
capabilities = ["read"]
}
Application requests/database/creds/app-role -> receives (user, pass, ttl)

υπογραφή αιτήσεων JWT (βραχυπρόθεσμα)

Το ιδιωτικό κλειδί αποθηκεύεται στο Secret Manager. η υπηρεσία ζητά ένα βραχύβιο σήμα υπογραφής και ο τοπικός πράκτορας υπογράφει το ωφέλιμο φορτίο (το κλειδί δεν μεταφέρεται στην αίτηση ως συμβολοσειρά).

πιστοποιητικά SSH για τους διαχειριστές

Έκδοση SSH-cert για 10 λεπτά μέσω SSO (OIDC), χωρίς διανομή μόνιμων κλειδιών.

15) Ασφάλεια γύρω από τις άκρες

Κορμοί/μονοπάτια/μετρήσεις: καθαριστικά, φίλτρα για γνωστά κλειδιά/μοτίβα. «μυστικά» πεδία - κάλυψη σε APM.
Dumps/Crash Reports: Αποκοπή εξ ορισμού. εάν είναι απαραίτητο - κρυπτογράφηση και καθαρισμός.
Εφαρμογές πελατών/κινητά: ελαχιστοποίηση των offline μυστικών, χρήση αποθήκευσης πλατφόρμας (Keychain/Keystore), σύνδεση συσκευών, TLS-pinning με κύλιση έκτακτης ανάγκης.

16) Συμμόρφωση

PCI DSS: απαγόρευση αποθήκευσης PAN/μυστικών χωρίς κρυπτογράφηση· αυστηρός έλεγχος πρόσβασης και περιστροφή.

ISO 27001/SOC 2 - Διαχείριση περιουσιακών στοιχείων, υλοτομία, έλεγχος πρόσβασης, απαιτήσεις αναδιαμόρφωσης

GDPR/τοπικές ρυθμιστικές αρχές: ελαχιστοποίηση, πρόσβαση ανάλογα με τις ανάγκες, έλεγχος.

17) Διαδικασίες και εγχειρίδιο λειτουργίας

Έναρξη λειτουργίας

1. Απογραφή μυστικών (αποθετήρια, πιστωτικά ιδρύματα, εικόνες, χρόνος εκτέλεσης, αντίγραφα ασφαλείας).
2. Ταξινόμηση και ετικέτες (ιδιοκτήτης, περιβάλλον, ενοικιαστής, πολιτική εναλλαγής).
3. Ενσωμάτωση θησαυροφυλακίου/νέφους SM + KMS/HSM.
4. Δημιουργία εκροών ανά ταυτότητα φόρτου εργασίας (OIDC/SPIRE).
5. Ενεργοποίηση δυναμικών μυστικών για DB/Cloud/PKI.
6. Αυτόματη περιστροφή και επαναφόρτωση εν θερμώ. ειδοποιήσεις για τη λήξη ισχύος.
7. Δημιουργία σαρωτών διαρροής και καταλόγου δεδομένων/ET.

Σενάρια έκτακτης ανάγκης

Εικαζόμενη διαρροή: η λίστα στάσεων πρόσβασης, η άμεση εναλλαγή, τα πιστοποιητικά/κλειδιά ανάκλησης, οι μάρκες επανέκδοσης, επιτρέπουν αυξημένο έλεγχο, η RCA.
Το Secret Manager δεν είναι διαθέσιμο: τοπική μνήμη με χαμηλή TTL, υποβάθμιση λειτουργίας, περιορισμό νέων συνδέσεων, χειροκίνητα βήματα θραύσης-γυαλιού.
Βασικός συμβιβασμός: αναγέννηση βασικής ιεραρχίας, αναδιατύπωση όλων των DEK, έλεγχος όλων των ανοιγμάτων για το παράθυρο κινδύνου.

18) Κατάλογοι ελέγχου

Πριν από την πώληση

• Μυστικά που αφαιρούνται από τον κώδικα/εικόνες. συμπεριλαμβανομένων των σαρωτών διαρροής.
• Ενεργοποιούνται δυναμικοί μηχανισμοί για κρίσιμα μυστικά.
• Παράδοση μέσω sidecar/CSI/tmpfs με θερμή επαναφόρτωση, χωρίς ανθεκτικά περιβάλλοντα.
• Πολιτικές IAM/ABAC διαμορφωμένες, δεσμευμένες στην ταυτότητα του φόρτου εργασίας.
• Αυτόματη περιστροφή και διπλή έκδοση (N, N-1) για συμβατότητα.
• Ενεργοποιημένες μετρήσεις/καταχωρίσεις/λογιστικοί έλεγχοι· πέρασαν δοκιμές αποικοδόμησης.

Πράξη

• Μηνιαία Έκθεση: Ιδιοκτήτες, TTL, Ληγμένα Μυστικά, Αχρησιμοποίητα.
• Περιοδικές περιστροφές και δοκιμές διείσδυσης διαδρομών διαρροής (κούτσουρα, σκουπίδια, τεχνουργήματα).
• σχέδιο κρυπτοευελιξίας και αντικατάσταση έκτακτης ανάγκης CA/ρίζες.

19) ΣΥΧΝΈΣ ΕΡΩΤΉΣΕΙΣ

Ε: Αρκεί ο μυστικός διαχειριστής χωρίς KMS

A: Για το βασικό επίπεδο - ναι, αλλά είναι καλύτερα να χρησιμοποιήσετε κρυπτογράφηση φακέλου: KEK σε KMS/HSM, μυστικά - τυλιγμένα. Αυτό απλουστεύει την ανατροφοδότηση και τη συμμόρφωση.

Ε: Τι να επιλέξετε - στατική ή δυναμική

A: Η προκαθορισμένη είναι δυναμική. Αφήστε στατικό μόνο όταν δεν υπάρχουν υποστηριζόμενοι πάροχοι και κάψτε TTL μέχρι ημέρες/ώρες + αυτόματη εναλλαγή.

Ε: Πώς να πετάξετε με ασφάλεια μυστικά στη μικροϋπηρεσία

Ταυτότητα φόρτου εργασίας mTLS μυστικός διαχειριστής sidecar/CSI tmpfs + επαναφόρτωση εν θερμώ. Όχι κούτσουρα, όχι κούτσουρα «για πάντα».

Ε: Μπορώ να κρατήσω μυστικά στο Kubernetes Secret

A: Μόνο με κρυπτογράφηση etcd ενεργοποιημένη με πάροχο KMS και αυστηρές πολιτικές. Προτιμήστε εξωτερική αποθήκευση και CSI.

Ε: Πώς «κρυπτογραφείς» την πρόσβαση ενός ενοικιαστή

Α: Ανάκληση/παρεμπόδιση των πολιτικών του μυστικού διαχειριστή, ακύρωση όλων των μισθώσεων, εναλλαγή κλειδιού/αναγέννηση· κατά τη χρήση του KMS - απενεργοποίηση της απενεργοποίησης του αντίστοιχου KEK.

• «Στην κρυπτογράφηση ανάπαυσης»
• «Κρυπτογράφηση διαμετακόμισης»
• «Διαχείριση κλειδιών και εναλλαγή»
• «S2S επαλήθευση ταυτότητας»
• «Υπογραφή και επαλήθευση αιτήσεων»