Сыр менеджменти

Сыр менеджменти

1) Эмне үчүн жана эмнени так "сыр" деп эсептейбиз

Жашыруун - ачылышы системанын же маалыматтардын компромисске алып келген ар кандай материал: сырсөздөр, API-токендер, OAuth/JWT жеке keys, SSH-ачкычтар, сертификаттар, шифрлөө ачкычтары (KEK/DEK), вебхуктардын кол коюу ачкычтары, DSN базалары/кэштери, жеткирүүчүлөрдүн ачкычтары (төлөмдөр, почта провайдерлери/SMS), cookie-туздар/pepper, боттордун/чаттардын токендери, лицензиялар.
Сырлар коддо, конфигада, чөйрөдө, контейнердик сүрөттөрдө, CI/CD, Terraform/Ansible, блогдордо/дампаларда жашашат - сырларды башкаруу милдети: эсепке алуу → сактоо → жеткирүү → колдонуу → айлануу → кароо → аудит → кайра иштетүү.

2) Архитектура принциптери

Борборлоштуруу. Сактоо, чыгаруу жана аудит үчүн бир ишенимдүү катмар (Vault/Cloud Secret Manager/KMS).
Эң аз артыкчылыктар (PoLP). Керектүү кызматтарга/ролдорго гана минималдуу мөөнөткө жетүү.
Кыска өмүр. TTL/lease менен динамикалык/убактылуу сырлар артыкчылык берилет.
Crypto-agility. Иштебей туруп алгоритмдерди/ачкычтардын узундугун өзгөртүү мүмкүнчүлүгү.
Сырларды коддон/сүрөттөрдөн ажыратуу. Эч кандай сырсөздөр, же Docker сүрөттөр.
Байкоо жана аудит. Ар бир сырларды берүү/окуу операциясы бузулат жана бузулат.
Автоматтык айлануу. Rotation - pipeline бир процесс эмес, кол менен иш-аракет.

3) типтүү чечимдер жана компоненттеринин ролу

KMS/HSM. тамыр ишеним, шифрлөө/ачкычтарды ороп иштетүү (envelope).
Secret Manager/Vault. Сырларды сактоо, ACL, аудит, динамикалык сырлар (DB, cloud-IAM, PKI), айлануу шаблондору.
PKI/CA. mTLS/SSH/JWT кол кыскача күбөлүк берүү.
Агент/sidecar. Рантаймга сырларды жеткирүү (tmpfs файлдары, in-memory k/v, hot-reload).
CSI айдоочулар/операторлор. Kubernetes менен интеграция (Secret Store CSI Driver, cert-manager).
Git шифрлөө катмары. SOPS/age, git-crypt (инфраструктуралык код үчүн).

4) Классификация жана саясат

• TTL/lease жана айлануу жыштыгы;
• берүү ыкмасы (статикалык vs динамикасы), формат, медиа;
• кирүү саясаты (ким/кайда/качан/эмне үчүн), mTLS жана өз ара аутентификация талаптары;
• аудит (эмнени логика, канча сактайбыз, ким ревьюит);
• break-glass жол-жоболору жана кайра чакыртып алуу.

5) Жашыруун жашоо цикли

1. Түзүү: metadata (owner, tags, scope) менен API Secret Manager аркылуу.
2. Сактоо: шифрленген түрдө (envelope: DEK KMS/HSMден КЕК менен оролгон).
3. Жеткирүү: ыйгарым укуктуу субъекттин талабы боюнча (OIDC/JWT, SPIFFE/SVID, mTLS).
4. Колдонуу: гана эс/tmpfs; логин/дамп тыюу салуу.
5. Rotation: TTL же окуя боюнча (компромисс); параллелдүү версияларын колдоо (N-1).
6. Чакыртып алуу/бөгөт коюу: lease токтоосуз аяктоо, максаттуу системада эсеп/ачкыч disabl.
7. Утилизация: версияларды/материалды жок кылуу, аудиттин так чынжырчасы.

6) Динамикалык сырлар (демейки сунушталат)

• DD каттоо маалыматтары (Postgres/MySQL) менен TTL 15-60 мин.
• Булуттардын убактылуу ачкычтары (AWS/GCP/Azure) кызматтын ролу боюнча.
• SSH-күбөлүк (мөөнөтү 5-30 мин), X.509-күбөлүк (саат/күн).
• Убактылуу JWT кол суроолор үчүн, session-tickets брокерлер.
• Артыкчылыктары: минималдуу blast radius, жөнөкөйлөтүлгөн кайра карап чыгуу (дүйнөдө эч нерсе "калат").

7) Рантайм сырларды жеткирүү

• Secret Store CSI Driver → сырларды файлдар (tmpfs).
• Kubernetes Secret жалгыз булагы катары качуу (base64 ≠ шифрлөө); керек болсо - etcd үчүн KMS провайдерин кошуңуз.
• Sidecar Agent (Vault Agent/Secrets Store) менен auto-rease lease жана hot-reload.
• VM/Bare-металл: системасы агент + mTLS үчүн Vault/Secret Manager, эс кэш, минималдуу TCB.
• Serverless: Айлана-чөйрөнүн өзгөрмөлүү/файлдар катары ачык сырларды алмаштыруу менен булутту интеграциялоо, бирок узак мөөнөттүү envvars - файлдарды/эс тутумду жактырат.

Мисал (Kubernetes + CSI, концептуалдык)

yaml apiVersion: v1 kind: Pod metadata: { name: app }
spec:
serviceAccountName: app-sa # is associated with a role in Secret Manager volumes:
- name: secrets csi:
driver: secrets-store. csi. k8s. io readOnly: true volumeAttributes:
secretProviderClass: app-spc containers:
- name: app volumeMounts:
- mountPath: /run/secrets name: secrets readOnly: true

8) CI/CD жана IaC бириктирүү

CI: Воркерлер OIDC (Workload Identity) боюнча кыска мөөнөттүү токендерди алышат. "Жашырылган" сырларга тыюу салуу; кадам "скан агып" (trufflehog/gitleaks).
CD: Деплой эсептөө учурунда сырларды алып, аларды артефакттарга жаздырбайт.
IaC: Terraform Secret Manager өзгөрмөлөрдү сактайт; абалы (state) шифрленген жана жеткиликтүүлүгү чектелген.
SOPS/age: репо үчүн - шифрленген манифесттерди сактоо, ачкычтар - KMS тарабынан башкарылат.

Мисал (SOPS фрагмент)

yaml apiVersion: v1 kind: Secret metadata: { name: app }
data:
PASSWORD: ENC[AES256_GCM,data:...,sops:...]
sops:
kms:
- arn: arn:aws:kms:...
encrypted_regex: '^(data    stringData)$'
version: '3. 8. 0'

9) Кирүү саясаты жана иш жүктөрүн аутентификациялоо

Workload identity: SPIFFE/SPIRE, Kubernetes SA→OIDC→IAM-роль, mTLS.
Убактылуу токендер: кыска TTL, тар scope.
ABAC/RBAC in Secret Manager: "Ким Y чөйрөсүндө X сырын окуй алат" "Ким түзө алат/айланат".
Көп ижара: ижарачыга жеке namespaces/key-rings; айрым саясат жана отчеттуулук.

10) Айлануу, версиясы жана шайкештиги

жашыруун ID жана анын нускасын бөлүшүү ('secret/app/db #v17').
үзгүлтүксүз айлануу үчүн эки активдүү нускасын (N жана N-1) колдоо.
Ротация окуя болуп саналат: кызматтан алуу, компроматтар, провайдерди алмаштыруу, алгоритмдерди көчүрүү.
Automatically: cron/backend Vault/Secret Manager + webhook триггерлери тиркемелерди кайра баштоо/калыбына келтирүү.

Мини-рецепт "эки ачкыч" айлануу Webhook

text
T0: we publish two secrets in the provider: current, next
T1: the application starts accepting signatures by both current and next
T2: external system switches signature to next
T3: we do next -> current, re-release new next

11) Ижарадан тышкары сактоо: резервдик көчүрмөлөр жана экспонаттар

Артефакттарга эч качан түшпөңүз (сүрөттөр, логдордун архивдери, дампалар).
Secret Manager Backaps - шифрлөө, ошол эле контурдан тышкары сактоо ачкычтары (duties of separation).
Tags жана DLP сканер: S3/Blob/GCS, Git, CI артефакттарында сырларды аныктоо.

12) Байкоо, аудит жана SLO

Метрика: берилген саны/жашыруун/кызматы, мөөнөтү өтүп кеткен lease үлүшү, орточо TTL, айлануу убактысы, конвергенция убактысы ("кабыл алуу" жаңы нускасына чейин секунд/мүнөт).
Аудит-логи: ким/эмне/качан/кайдан/эмне үчүн; өзүнчө сактоо, ошондой эле шифрленген.
SLO: 99% чыгаруу <200 мс; 0 логдор агып; 100% сырлар owner/TTL/теги бар; 100% маанилүү сырлар - динамикалык же 30 күн ≤ айлануу.
Alerty: жашыруун <7 күн (статиктер үчүн), сактоо үчүн аутентификациядан баш тартуу, эч кандай жашыруун окуу> N күн (өлүк), күтүлбөгөн GEO/ASN булактары.

13) Көп каталар жана аларды алдын алуу үчүн кантип

Git/сүрөттөрдө сырлар. SOPS/age жана сканерлерди колдонуу; "жылаңач" саптарга тыюу салуу саясаты менен

Envvars узак мөөнөттүү ташуучу катары. tmpfs/in-memory файлдарына артыкчылык бериңиз; форкаларда/дамбаларда чөйрөнү тазалаңыз.
dev/stage/prod үчүн бирдей сырлар. Айлана-чөйрөгө бөлүңүз.
Узак статикалык сырсөздөр. динамикалык/кыска өтүү.
Бирдиктүү башкы ачкычы "бардык". Ижарачылар/долбоорлор/кызматтар боюнча бөлүшүү.
Hot-reload жок. Тиркеме кайра → терезе аялуу айлануу талап кылат.

14) Интеграциялардын мисалдары (схемалык)

Vault динамикалык кирүү Postgres

hcl
Vault: role -> issues the user to the database with TTL 30m and privileges only to the app path "database/creds/app-role" {
capabilities = ["read"]
}
Application requests/database/creds/app-role -> receives (user, pass, ttl)

JWT-кол суроолор (кыска мөөнөтү)

Купуя ачкыч Secret Manager сакталат; кызмат кыскача signing-token сурайт жана жергиликтүү агент payload кол коёт (ачкыч сап катары тиркемеге өткөрүлүп берилбейт).

Администраторлор үчүн SSH сертификаттары

SSO (OIDC) боюнча 10 мүнөткө SSH-cert берүү, туруктуу ачкычтарды жайылтпастан.

15) четинде коопсуздук

Логи/соода/метриктер: санитайзерлер, белгилүү ачкычтар/үлгүлөрү үчүн чыпкалар; "жашыруун" талаалар - АПМде жашыруу.
Дампы/crash-репортаж: демейки өчүрүү; керек болсо - шифрлөө жана тазалоо.
Client Applications/Мобил: оффлайн сырларын минималдаштыруу, платформалык сактагычтарды колдонуу (Keychain/Keystore), түзмөккө байлоо, TLS-pinning менен авариялык жылдыруу.

16) Комплаенс

PCI DSS: PAN/сырларды шифрлөөсүз сактоого тыюу салуу; жеткиликтүүлүктү жана ротацияны катуу көзөмөлдөө.
ISO 27001/SOC 2: активдерди башкаруу, журналдаштыруу, жеткиликтүүлүктү көзөмөлдөө, конфигурацияларды өзгөртүү талаптары.
GDPR/жергиликтүү жөнгө салуучу: минималдаштыруу, муктаждык боюнча жетүү, аудит.

17) Процесстер жана Runbook

Ишке киргизүү

1. Сырларды инвентаризациялоо (репозиторийлер, CI, сүрөттөр, runtime, backaps).
2. Классификация жана теги (owner, environment, tenant, rotation-policy).
3. сактоо тандоо (Vault/Cloud SM) + KMS/HSM менен бириктирүү.
4. Workload identity (OIDC/SPIRE) боюнча чыгаруу жөндөө.
5. DD/булуттар/PKI үчүн динамикалык сырларды киргизүү.
6. Auto-айлануу жана hot-reload; Алерталар экспирацияда.
7. агып сканер жана Data Catalog/DS орнотуу.

Өзгөчө жагдайлар

Агып кетүүсүнө шектенүү: токтоо тизмеси, токтоосуз айлануу, сертификаттарды/ачкычтарды чакыртып алуу, токендерди кайра чыгаруу, жогорулатылган аудитти киргизүү, RCA.
Secret Manager жеткиликтүү эмес: кичинекей TTL менен эс жергиликтүү кэш, функциялардын бузулушу, жаңы байланыштарды чектөө, кол менен break-glass кадамдар.
Негизги ачкычтын компромисстери: негизги-hierarchy калыбына келтирүү, бардык DEK rewrap, тобокелдик терезеси үчүн бардык төлөмдөрдү текшерүү.

18) Чек баракчалары

Азык-түлүктүн алдында

• Сырлар коддон/сүрөттөрдөн алынып салынган; агып сканерлер кирет.
• маанилүү сырлар динамикалык механизмдерин камтыйт.
• Hot-reload менен sidecar/CSI/tmpfs аркылуу жеткирүү, узак мөөнөттүү envvars жок.
• орнотулган IAM/ABAC саясаты, workload id.
• Auto-айлануу жана кош чыгаруу (N, N-1) шайкештиги үчүн.
• Метрика/Алерт/аудит кирет; деградация тесттери өттү.

Иштетүү

• Айлык отчет: ээлери, TTL, мөөнөтү өтүп кеткен сырлар, пайдаланылбаган.
• Мезгил-мезгили менен айлануу жана pentestes агып жолдор (үймөктөр, дампалар, экспонаттар).
• Crypto-agility планы жана шашылыш CA/тамыры алмаштыруу.

19) FAQ

S: KMS жок Secret Manager жетиштүүбү?
О: Негизги деңгээл үчүн - ооба, бирок envelope-шифрлөөнү колдонуу жакшы: KMS/HSMде KEK, сырлар - оролгон. Бул карап чыгуу жана комплаенс жөнөкөйлөтөт.

S: тандоо үчүн эмне - статика же динамикасы?
A: демейки - динамикасы. Статикти колдоо көрсөтүүчү провайдерлер жок жерде гана калтырыңыз жана TTLди күн/саат + автоматтык ротацияга чейин өрттөңүз.

S: Кантип коопсуз микросервис сырларды ыргытып?
О: Workload identity → mTLS к Secret Manager → sidecar/CSI → файлы в tmpfs + hot-reload. эч кандай логдор, жок envvars "түбөлүккө".

S: Мен Kubernetes жашыруун сырларды сактоо мүмкүнбү?
A: KMS-провайдер жана катуу саясат менен ETCD шифрлөө гана. тышкы сактоо жана CSI артык.

S: Кантип "крипто-өчүрүү" ижарачынын жетүү?
A: Secret Manager анын саясатын жокко чыгаруу/бөгөт коюу, бардык leases майып, айлануу/ачкычтарды калыбына келтирүү; KMS колдонууда - тиешелүү KEK unwrap өчүрүү.

• "Ат Rest шифрлөө"
• "In Transit шифрлөө"
• "Ачкычтарды башкаруу жана ротация"
• "S2S-аутентификация"
• "Кол коюу жана суроо-талаптарды текшерүү"