Секреты: ключи, хранение и ротация

Прошлый урок закончился паролем. Пароли — это секреты, которые вводит человек; этот урок о секретах, которыми пользуется программа, когда никто не смотрит: ключи API, пароли к базам, ключи подписи, токены к другим сервисам. Ломаются они иначе, чем человеческие пароли. Никто не переиспользует пароль от базы из лени, никто его не забывает и никто не выбирает слабый, потому что так проще набирать. Они ломаются потому, что их копируют туда, где им никогда не следовало лежать, и потому что живут они вечно.

Секрет, закоммиченный в репозиторий, — это не файл, который можно удалить. Git хранит снимки, и каждый снимок, в котором ключ когда-либо был, содержит его до сих пор. Удаление строки в новом коммите убирает ключ из текущего состояния и ничего не меняет в истории. Даже force-push, переписывающий ветку, оставляет старые объекты достижимыми через reflog, через любой форк, через любой уже сделанный клон и какое-то время через хранилище самого провайдера. Это не изъян Git; это то, для чего существует история, адресуемая по содержимому. Практический вывод — тот, принять который командам дороже всего: к моменту, когда ты заметил, учётные данные надо считать публичными. Как найти утёкший ключ в истории и убедиться, что он всё ещё достижим. Поиск — это лёгкая часть.

$ git log --all -S 'AKIA' --oneline
9f2c1ab  remove keys from config
4d7e0f3  add deployment config

$ git show 4d7e0f3:config/prod.env | grep -c AKIA
1

$ git rev-list --all --count
8421

# the commit is still reachable: history is append-onlyКак найти утёкший ключ в истории и убедиться, что он всё ещё достижим. Поиск — это лёгкая часть.

Переменные окружения — стандартный совет, и это шаг вперёд, но их часто переоценивают. Что они действительно дают: секрет не в репозитории, не в образе контейнера и отличается между стендом и продом без правки кода. Чего они не дают: никакой изоляции вообще. В Linux окружение работающего процесса читается из /proc, поэтому ключ может прочитать любой процесс, работающий от того же пользователя. Он попадает в дампы падений и в дочерние процессы, которые ты порождаешь, — именно так ключ от платёжного сервиса всплывает в логе несвязанной задачи. А на многих платформах он виден на странице настроек в панели, то есть виден всем, у кого есть право деплоя. Переменные окружения переносят секрет из плохого места в лучшее. Они не сейф. Переменную окружения прочитает всё, что уже может работать от имени этого пользователя. Это не ничего, но это не секретность. Вывод ключа — это мост от человеческого секрета к криптографическому ключу. Пароль не используется как ключ AES напрямую, потому что пароли короткие и низкоэнтропийные, а ключи должны быть равномерно случайными. Функция вывода берёт пароль, соль и намеренно дорогой параметр стоимости и выдаёт ключ нужной длины. Та же идея встречается в трёх местах сразу, и стоит увидеть, что это одна и та же идея: вывод ключа из парольной фразы, вывод хеша пароля, устойчивого к перебору, и вывод отдельного ключа на запись из мастер-ключа, чтобы утечка одного ключа не открывала остальные. Именно параметр стоимости заставляет каждую из них сопротивляться атакующему, у которого уже есть сохранённый материал. У шифрования диска есть характерный режим отказа, который стоит назвать. Если ключ, отпирающий диск, лежит на той же машине или автоматически подтягивается при загрузке из файла конфигурации, то данные есть у любого, кто может загрузить эту машину или прочитать этот файл. Поэтому полнодисковое шифрование защищает украденный ноутбук и почти ничего не даёт для работающего сервера, до которого атакующий уже добрался.

in transit     TLS between client and service      a key you never see
at rest        disk encryption, KMS envelope      server holds the key
tokenized      provider keeps the card number    your database holds a token

PCI DSS 4.0 requires cardholder data encrypted in transit and at rest

None of the three protects against a valid account using the API.Три слоя, которые имеют в виду, когда говорят «данные зашифрованы». Они защищают от разного, и ни один не защищает от действительного запроса.