کلیدها و اعتبارنامه های API را ایمن کنید

سرورهای ابری از وب سایت ها، برنامه ها، API ها، پایگاه های داده و پلت فرم های تجاری پشتیبانی می کنند. این سیستم ها به اطلاعات حساسی مانند کلیدهای API، رمزهای عبور، نشانه های دسترسی، کلیدهای SSH و اعتبار پایگاه داده متکی هستند.

با این حال، مدیریت ضعیف اعتبارنامه می تواند خطرات امنیتی جدی ایجاد کند. به عنوان مثال، یک کلید API آشکار می‌تواند به کاربران غیرمجاز اجازه دسترسی به یک سرویس خارجی را بدهد. به طور مشابه، اعتبارنامه های ابری افشا شده می تواند به مهاجمان دسترسی به زیرساخت های ارزشمند را بدهد.

مدیریت مخفی ابری به سازمان ها روشی ساختاریافته برای محافظت از این اعتبارنامه ها می دهد. این به تیم ها کمک می کند تا اسرار را بدون افشای غیرضروری ذخیره، دسترسی، نظارت و چرخش کنند.

در این راهنما، نحوه محافظت از کلیدهای API، گذرواژه‌ها و سایر اطلاعات کاربری در سرورهای ابری را خواهید آموخت.

مدیریت مخفی ابری چیست؟

مدیریت اسرار ابری شامل مدیریت ایمن اعتبارنامه های حساس در طول چرخه عمر آنها است.

یک راز می تواند شامل هر گونه اطلاعاتی باشد که یک برنامه یا کاربر برای احراز هویت یا مجوز نیاز دارد. نمونه های رایج عبارتند از:

• کلیدهای API
• رمزهای عبور برای پایگاه های داده
• اعتبار دسترسی به ابر
• کلیدهای خصوصی SSH
• توکن های OAuth
• کلیدهای رمزگذاری
• اعتبار حساب خدمات
• رمزهای عبور برنامه
• توکن های وب هوک

به جای قرار دادن این مقادیر به طور مستقیم در کد منبع، سازمان ها می توانند آنها را در سیستم های مدیریت مخفی ویژه ذخیره کنند.

در نتیجه، توسعه دهندگان می توانند اعتبارنامه ها را از منطق برنامه جدا نگه دارند در حالی که تیم های امنیتی کنترل بهتری بر دسترسی دارند.

چرا اعتبارنامه های ابری به محافظت نیاز دارند؟

اعتبارنامه های ابری اغلب دسترسی به سیستم ها و سرویس های حیاتی را فراهم می کنند. بنابراین، مهاجمان فعالانه به دنبال کلیدها، رمزهای عبور و نشانه‌های افشا شده هستند.

یک گواهی در معرض خطر می تواند چندین مشکل ایجاد کند. به عنوان مثال، مهاجمان می توانند از رمز عبور پایگاه داده سرقت شده برای دسترسی به سوابق حساس استفاده کنند. به طور مشابه، آنها می توانند از کلید دسترسی ابری برای ایجاد منابع، تغییر زیرساخت یا سرقت اطلاعات استفاده کنند.

قرار گرفتن در معرض اعتبار ممکن است منجر به موارد زیر شود:

• دسترسی غیرمجاز به حساب کاربری
• سرقت اطلاعات
• فسخ برنامه
• سوء استفاده از منابع ابری
• زیان های مالی
• قطع خدمات
• مسائل مربوط به انطباق
• حوادث امنیتی گسترده تر

به همین دلیل، مشاغل باید با هر گواهی تولید به عنوان یک دارایی حساس و مطمئن برخورد کنند.

اسرار ابر چگونه فاش می شود؟

سازمان ها می توانند اعتبار خود را به روش های مختلفی از دست بدهند. درک این خطرات پیشگیری را آسان تر می کند.

اعتبارنامه هارد کد شده

گاهی اوقات توسعه دهندگان کلیدهای API و رمزهای عبور را مستقیماً در کد برنامه قرار می دهند. در حالی که این رویکرد ممکن است در طول توسعه راحت به نظر برسد، اما یک مشکل امنیتی قابل توجه ایجاد می کند.

اگر شخصی به کد دسترسی پیدا کند، می تواند اعتبارنامه را نیز کشف کند.

مخازن عمومی Git

توسعه دهندگان می توانند به طور تصادفی آپلود کنند .env فایل‌ها، فایل‌های پیکربندی یا کد منبع حاوی اسرار برای مخازن عمومی.

علاوه بر این، سیستم های خودکار به طور مداوم مخازن عمومی را برای اعتبارنامه های افشا شده اسکن می کنند. بنابراین، حتی یک قرار گرفتن در معرض کوتاه می تواند یک حادثه امنیتی ایجاد کند.

فایل های پیکربندی متن ساده

برخی از برنامه ها رمزهای عبور را در فایل های پیکربندی قابل خواندن ذخیره می کنند. اگر مهاجمان به سرور دسترسی پیدا کنند یا یک کاربر غیرمجاز فایل را بخواند، اعتبار ممکن است به خطر بیفتد.

اعتبار مشترک

تیم ها گاهی اوقات رمز عبور یا کلید API یکسانی را بین چندین برنامه یا کارمند به اشتراک می گذارند. بنابراین، یک گواهی در معرض خطر می تواند چندین سیستم را تحت تاثیر قرار دهد.

اسرار در دفتر خاطرات

برنامه‌ها ممکن است به‌طور تصادفی رمز عبور، نشانه‌ها یا اطلاعات احراز هویت را در فایل‌های لاگ بنویسند.

بنابراین، توسعه دهندگان باید شیوه های ورود به سیستم را بررسی کنند و از نمایش مقادیر حساس در گزارش های برنامه یا سرور جلوگیری کنند.

بهترین روش ها برای مدیریت اسرار ابری

یک استراتژی مدیریت مخفی قوی ترکیبی از ذخیره سازی ایمن، دسترسی کنترل شده، نظارت و چرخش منظم اعتبارنامه است.

1. هرگز اسرار را رمزگذاری نکنید

رمزهای عبور، کلیدهای API و اعتبار شخصی را از کد منبع برنامه دور نگه دارید.

در عوض، برنامه‌ها را طوری پیکربندی کنید که اسرار لازم را در زمان اجرا به طور ایمن بازیابی کنند. این رویکرد همچنین به‌روزرسانی اعتبارنامه‌ها را آسان‌تر می‌کند، زیرا توسعه‌دهندگان مجبور نیستند هر بار که رمزی تغییر می‌کند، کد برنامه را تغییر دهند.

همچنین، فایل های پیکربندی حساس را به موارد مناسب اضافه کنید .gitignore قوانین و پیاده سازی اسکن مخفیانه در گردش کار توسعه.

2. از یک مخزن مخفی امن استفاده کنید

متغیرهای محیطی می توانند اعتبارنامه ها را از کد منبع جدا کرده و برای بسیاری از برنامه ها مفید باقی بمانند. با این حال، آنها هر کنترل امنیتی را که محیط های تولید به آن نیاز دارند، ارائه نمی کنند.

برای بارهای کاری حساس، از یک پلت فرم مدیریت مخفی اختصاصی استفاده کنید.

گزینه های رایج عبارتند از:

• مدیر اسرار AWS
• خرک کلید لاجوردی
• Google Cloud Secret Manager
• HashiCorp Vault

این پلتفرم ها می توانند رمزگذاری، کنترل دسترسی، ممیزی، کنترل نسخه و چرخش اعتبار را فراهم کنند.

در نتیجه، سازمان ها کنترل بیشتری بر نحوه دسترسی برنامه ها به اطلاعات حساس به دست می آورند.

3. اصل کمترین امتیاز را اعمال کنید

برنامه ها فقط باید به اسرار مورد نیاز خود دسترسی داشته باشند.

به عنوان مثال، یک وب سایت ممکن است نیاز به دسترسی به یک اعتبار پایگاه داده داشته باشد. نیازی به دسترسی در سطح مدیر به کل حساب ابری ندارد.

بنابراین شناسه ها و مجوزهای جداگانه برای برنامه ها و سرویس های مختلف ایجاد کنید.

یک مدل عملی به این صورت است:

ضمیمه A → پایگاه داده مخفی A

پیوست B → API Secret B

Deployment System → Deployment Credentials

این رویکرد در صورت به خطر افتادن یک گواهی، آسیب احتمالی را محدود می کند.

4. اعتبارنامه ها را به طور منظم بچرخانید

اعتبارنامه های طولانی مدت خطر امنیتی را افزایش می دهد. اگر مهاجم یک کلید API قدیمی را بدزدد و سازمان هرگز آن را تغییر ندهد، آن گواهی می‌تواند برای مدت طولانی مفید باقی بماند.

چرخش منظم این نوردهی را کاهش می دهد.

سازمان ها باید سیاست های چرخشی برای موارد زیر ایجاد کنند:

• کلیدهای API
• رمزهای عبور برای پایگاه های داده
• دسترسی به توکن ها
• اعتبار خدمات
• کلیدهای SSH
• کلیدهای رمزگذاری

همچنین، هنگامی که مشکوک به دسترسی غیرمجاز هستید، فوراً اطلاعات کاربری را بچرخانید.

در صورت عملی، چرخش را از طریق پلت فرم ابری یا راه حل مدیریت مخفی خود به طور خودکار انجام دهید.

امنیت اسرار در سرورهای ابری لینوکس

سرورهای لینوکس معمولا میزبان وب سایت ها، API ها، پایگاه های داده و برنامه های کاربردی تجاری هستند. بنابراین، مدیران باید به حافظه و مجوزهای اعتبار سرور توجه زیادی داشته باشند.

محدود کردن مجوزهای فایل

فقط کاربر یا سرویس ضروری باید به فایل های حساس دسترسی داشته باشد.

به طور منظم مالکیت و مجوزها را بررسی کنید، به خصوص برای فایل های پیکربندی برنامه حاوی اعتبار.

کلیدهای SSH ایمن

کلیدهای SSH خصوصی را به صورت ایمن ذخیره کنید و در صورت لزوم از آنها با رمزهای عبور قوی محافظت کنید.

همچنین، کلیدهای استفاده نشده را حذف کنید و به طور مرتب دسترسی های مجاز را بررسی کنید.

از اعتبارنامه در تاریخچه پوسته اجتناب کنید

هنگامی که جایگزین های امن تر وجود دارد، رمز عبور یا نشانه های حساس را مستقیماً در آرگومان های خط فرمان قرار ندهید.

تاریخچه پوسته می‌تواند دستوراتی را ذخیره کند که بعداً اعتبارنامه‌ها را آشکار کند.

نظارت بر دسترسی به سرور

گزارش‌های احراز هویت را بررسی کنید و به سوابق برای فعالیت غیرمعمول دسترسی پیدا کنید. به ویژه، تلاش‌های غیرمنتظره برای ورود به سیستم، حساب‌های جدید یا اقدامات اداری غیرمعمول را بررسی کنید.

مدیریت مخفی ابری برای AWS، Azure و Google Cloud

پلتفرم‌های ابری بزرگ خدمات اختصاصی ارائه می‌کنند که می‌تواند به سازمان‌ها در مدیریت اسرار برنامه‌ها کمک کند.

مدیر اسرار AWS

AWS Secrets Manager به سازمان ها اجازه می دهد اعتبار برنامه ها، رمزهای عبور پایگاه داده، کلیدهای API و سایر مقادیر حساس را ذخیره کنند.

برنامه ها می توانند اسرار را از طریق مجوزهای هویتی مناسب AWS درخواست کنند، نه اینکه اعتبارنامه ها را مستقیماً در کد منبع ذخیره کنند.

این رویکرد همچنین از دسترسی کنترل شده و چرخش اعتبار پشتیبانی می کند.

خرک کلید لاجوردی

Azure Key Vault به سازمان ها در مدیریت اسرار، کلیدهای رمزگذاری و گواهی ها کمک می کند.

سازمان‌ها می‌توانند از کنترل‌های هویت و دسترسی Azure برای تعیین اینکه کدام کاربران و برنامه‌ها می‌توانند اسرار خاصی را بازیابی کنند، استفاده کنند.

Google Cloud Secret Manager

Google Cloud Secret Manager ذخیره سازی متمرکز و کنترل دسترسی را برای اسرار برنامه فراهم می کند.

برنامه ها می توانند اعتبار مورد نیاز را از طریق درخواست های احراز هویت شده بازیابی کنند، در حالی که مقادیر حساس را خارج از کد منبع برنامه نگه می دارند.

اگرچه هر ارائه دهنده از خدمات و اصطلاحات متفاوتی استفاده می کند، اما اصل امنیت یکسان است: به برنامه ها فقط به اسرار مورد نیاز خود دسترسی کنترل شده بدهید.

ایمن سازی اسرار در خطوط لوله CI/CD

تیم های توسعه مدرن اغلب از خطوط لوله CI/CD برای ساخت، آزمایش و استقرار برنامه ها استفاده می کنند.

این خطوط لوله ممکن است نیاز به دسترسی به موارد زیر داشته باشند:

• اعتبار ابر
• توکن های API
• ثبت کانتینرها
• کلیدهای استقرار
• اعتبار پایگاه داده
• کلیدهای امضا

با این حال، توسعه دهندگان هرگز نباید این اسرار را مستقیماً در اسکریپت های خط لوله قرار دهند.

در عوض، از متغیرهای خط لوله امن استفاده کنید یا فرآیند استقرار را با یک مدیر مخفی اختصاصی ادغام کنید.

همچنین، اعتبار استقرار را بر اساس محیط و پروژه محدود کنید. به عنوان مثال، اعتبار توسعه نباید به طور خودکار به زیرساخت های تولید اجازه دسترسی دهد.

اگر رازی فاش شد چه باید کرد؟

اعتبار افشا شده نیاز به اقدام فوری دارد.

1. راز را لغو یا بچرخانید

اعتبار شناسایی شده را غیرفعال کنید و در اسرع وقت یک جایگزین ایجاد کنید.

2. دسترسی را کاوش کنید

گزارش های احراز هویت و برنامه را بررسی کنید تا مشخص کنید که آیا شخصی از اعتبارنامه ها استفاده کرده است یا خیر.

3. مجوزها را بررسی کنید

هر منبعی را که راز افشا شده می تواند به آن دسترسی داشته باشد، شناسایی کنید.

4. راز را حذف کنید

اعتبارنامه های افشا شده را از فایل های منبع، مخازن، سیستم های پیکربندی و سایر مکان هایی که دیگر به آنها تعلق ندارند حذف کنید.

5. علت اصلی را برطرف کنید

در نهایت، مشخص کنید که چرا راز فاش شده است.

به عنوان مثال، سازمان ممکن است به آموزش توسعه دهندگان بهتر، اسکن مخزن، کنترل دسترسی یا بررسی های امنیتی CI/CD نیاز داشته باشد.

اشتباهات رایج در مدیریت اسرار ابری

حتی سازمان‌هایی که سیاست‌های امنیتی دارند نیز می‌توانند هنگام مدیریت اعتبارنامه اشتباه کنند.

در همه جا از یک گواهی استفاده کنید

اعتبار مشترک تاثیر بالقوه یک مصالحه را افزایش می دهد. در عوض، اعتبارنامه های جداگانه برای سیستم ها و برنامه های مختلف ایجاد کنید.

اعتبارنامه را برای همیشه نگه دارید

اعتبارنامه های قدیمی می توانند تا مدت ها پس از از بین رفتن هدف اصلی خود فعال باقی بمانند. بنابراین اعتبارنامه های استفاده نشده را به طور مرتب بررسی و حذف کنید.

اعطای مجوزهای بیش از حد

یک برنامه به ندرت نیاز به دسترسی نامحدود دارد. برای کاهش قرار گرفتن در معرض غیر ضروری از حداقل امتیاز استفاده کنید.

ذخیره اسرار در کد منبع

سیستم های کنترل منبع باید کد برنامه را مدیریت کنند، نه اعتبار تولید حساس را.

لاگ ها را نادیده بگیرید

تیم های امنیتی باید به طور مرتب بررسی کنند که آیا برنامه ها به طور تصادفی اطلاعات حساس را ضبط می کنند یا خیر.

چک لیست مدیریت اسرار ابری

قبل از استقرار یک برنامه در سرور ابری، موارد زیر را بررسی کنید:

• رمزهای عبور یا کلیدهای API را رمزگذاری نکنید
• از یک فروشگاه مخفی امن استفاده کنید
• مجوزهای کمترین امتیاز را اعمال کنید
• اعتبارنامه های مهم را بچرخانید
• حساب ها و کلیدهای استفاده نشده را حذف کنید
• از کلیدهای خصوصی SSH محافظت کنید
• مدارک CI/CD محافظت شده
• از ورود اسرار به فایل های گزارش جلوگیری کنید
• نظارت بر استفاده از اعتبار
• مخازن را برای اسرار فاش شده اسکن کنید
• یک فرآیند واکنش به حادثه ایجاد کنید
• مجوزهای دسترسی را به طور منظم مرور کنید

این چک لیست یک نقطه شروع عملی برای بهبود امنیت اعتبار در فضای ابری ارائه می دهد.