تنتقل بيانات الدخول بين الفرق طوال الوقت. فريق المنصة يسلّم مفتاح نشر إلى فريق منتج، وفريق الدعم يحصل على بيانات دخول المشرف لبوابة أحد الموردين، والمالية تمرر رمز API الخاص بالبنك إلى الهندسة من أجل تكامل. كل تسليم من هذه روتيني، وعند كل واحد منها تنتهي بيانات الدخول في أغلب الأحيان داخل محادثة على Slack تبقى فيها إلى الأبد.
الطريقة الآمنة لتسليم بيانات الدخول بين الفرق لا تعتمد على أداة ذكية بقدر ما تعتمد على قاعدة واضحة تحدد أيًّا من أداتين تستخدم، مع بعض العادات حولها. يعرض هذا الدليل تلك القاعدة وهذه العادات: حدّد نطاق صلاحيات بيانات الدخول، وأوصلها دون أن تضعها في رسالة، وعيّن مسؤولًا عنها، وأزلها في موعدها.
القرار الوحيد المهم: خزنة أم رابط لمرة واحدة
كل شيء آخر يتبع طريقة استخدام الفريق المستلم لبيانات الدخول.
| ما سيفعله الفريق المستلم | استخدم | السبب |
|---|---|---|
| يواصل استخدامها عدة أشخاص دون موعد نهاية | خزنة مشتركة في مدير كلمات المرور أو مدير الأسرار لديك | صلاحيات بأسماء أصحابها، والإبطال والتدوير في مكان واحد |
| يستخدمها مرة واحدة، أو يحتاجها شخص واحد لفترة قصيرة | رابط سري لمرة واحدة | لا تحمل الرسالة إلا رابطًا، وتُحذف النسخة نهائيًا عند أول فتح |
| يشغّلها من الشيفرة أو من CI | مدير أسرار بهويات للأجهزة | لا يرى أي إنسان القيمة أبدًا |
الخزنة هي السجل المعتمد. فإذا كان لبيانات الدخول عمر يتجاوز لحظة التسليم، فمكانها خزنة مشتركة يملكها الفريق المستلم ويُضاف إليها الأعضاء بأسمائهم. ومعظم مديري كلمات المرور للشركات وأدوات مثل Vault أو AWS Secrets Manager تؤدي ذلك جيدًا.
الرابط لمرة واحدة للحظة النقل حين لا تناسب الخزنة: المستلم ليس في خزنتك، أو بيانات الدخول مؤقتة، أو تحتاج إلى تمرير قيمة إلى شخص واحد الآن. يُشفَّر المحتوى السري في متصفحك، وتُحذف النسخة المخزنة نهائيًا في أول مرة يُفتح فيها الرابط، وتنتهي صلاحية الرابط نفسه في موعدها إن لم يفتحه أحد. ويتناول مقال الروابط السرية مقابل مديري كلمات المرور الحالات الحدّية.
لا تستخدم أبدًا البريد الإلكتروني أو المحادثات أو المستندات المشتركة أو التذاكر. فكلها تحتفظ بنسخ، وكلها تتزامن مع أجهزة لا تتحكم فيها، وكلها يستطيع أن يبحث فيها أول من يصل إلى الحساب بعدك.
حدّد نطاق بيانات الدخول قبل أن تنتقل
القناة الجيدة لا تصلح بيانات دخول تملك صلاحيات أكثر من اللازم.
- أنشئ حسابًا منفصلًا للفريق أو الشخص المستلم بدلًا من إعارة حساب مرتبط بفرد. فالهويات المشتركة لا يمكن تدقيقها ولا إزالتها دون أن تترك أثرًا.
- امنح الصلاحيات التي تحتاجها المهمة. الفريق الذي يقرأ التقارير لا يحتاج إلى صلاحية الكتابة، والفريق الذي ينشر الشيفرة لا يحتاج إلى الفوترة.
- غيّر القيمة أولًا إن كانت قد تنقلت. إذا لُصق المفتاح الحالي في أماكن كثيرة، فأصدر مفتاحًا جديدًا للتسليم بدلًا من نشر القديم أكثر.
- ابحث في المواد المحيطة. التذاكر وأدلة التشغيل وملفات الإعداد النموذجية والسكربتات المرفقة بالعمل كثيرًا ما تحتوي على بيانات الدخول نفسها التي توشك أن تسلّمها. أزلها قبل التسليم، وإلا فالتسليم أصغر مواضع انكشافك.
التسليم نفسه
- تحقق من المستلم عبر قناة تثق بها مؤسستك مسبقًا: التذكرة، أو مدير تعرفه، أو مكالمة فيديو. فالعناوين المشابهة والأسماء التي تُكمَل تلقائيًا هي الطريقة المعتادة التي يضل بها السر طريقه.
- أوصلها عبر الأداة التي اخترتها. في الخزنة: أضف الشخص إلى المجموعة المشتركة. وفي الرابط: الصق القيمة في أداة الرابط السري لمرة واحدة، واضبط انتهاء الصلاحية على المدة الفعلية (ساعة إن كان ينتظر، ويوم إن كنتما في منطقتين زمنيتين مختلفتين)، واجعل حد المشاهدات مرة واحدة، وأضف عبارة مرور في حساب Pro لأي شيء حساس، ثم أرسل الرابط.
- أرسل السياق منفصلًا. اسم المستخدم والخادم وما تفتحه بيانات الدخول تُرسل في رسالة عادية، لا بجانب الرابط أبدًا. فلا ينبغي أن تجمع أي رسالة مسرّبة وحدها النصفين معًا.
- سجّل التسليم في سجلك المعتمد دون السر: المستلم، والغرض، والنظام، والمسؤول، وتاريخ الانتهاء.
- اطلب تأكيدًا على الوصول، لا على القيمة. «هل تستطيع تسجيل الدخول؟» هو السؤال الصحيح. أما «أرسل لي المفتاح لأتحقق منه» فليس كذلك.
وللفريق الذي يفعل ذلك كثيرًا، يحوّل تطبيق LinkPilot على Slack كلمة المرور الملصقة إلى رابط لمرة واحدة من داخل القناة، فلا تعتمد العادة على تذكّر الجميع فتح أداة أخرى.
عيّن مسؤولًا، ثم راجع وفق جدول
بيانات الدخول التي لا مسؤول عنها لا تُغيَّر ولا تُزال أبدًا. لذلك يجب أن يعيّن الفريق المستلم شخصًا واحدًا يُسأل عن القيمة: من يحملها، ومن يحتاجها غيره، ومتى تنتهي.
- أقل صلاحيات ممكنة حسب الدور، مع أدوار أو مجموعات حيث تسهّل الإدارة، حتى لا تعني مغادرة شخص واحد إعادة تعيين في كل نظام.
- المصادقة متعددة العوامل على الخزنة، لأن الخزنة صارت الهدف الذي يستحق الهجوم.
- وتيرة مراجعة تناسب الحساسية: كل ربع سنة لمعظم بيانات الدخول المشتركة، وعند كل تغيير في الفريق لصلاحيات بيئة الإنتاج.
- دقّق في عمليات التسليم. الخزنة تُظهر من وصل إلى ماذا. وحساب Pro في LinkPilot يعرض سجل التدقيق لكل رابط سري، فترى متى حدث الإظهار الوحيد وتطابقه مع تأكيد المستلم.
انتهاء الصلاحية والتدوير والانكشاف
حدّد نهاية عمر بيانات الدخول قبل أن يبدأ.
- الوصول المؤقت ينتهي في التاريخ المتفق عليه. أزل الحساب أو العضوية في الخزنة، وأبطل أي رابط لمرة واحدة لم يُفتح.
- التدوير يتبع الخطر، لا التقويم وحده: بعد مغادرة شخص، وبعد تغيير مورد، وبعد أي اشتباه في انكشاف، ووفق جدول لكل ما يعيش طويلًا.
- التسرب المشتبه به تسرب حتى يثبت العكس. غيّر بيانات الدخول في النظام الذي يقبلها، وأخبر المسؤول، وحدّث المهام والخدمات التي كانت تعتمد على القيمة القديمة. ويضم دليل مفاتيح API قائمة تحقق للتدوير تنطبق على معظم أنواع بيانات الدخول.
أداتان، وقاعدة واحدة للاختيار بينهما، ومسؤول عن كل قيمة. هذا هو النظام كله، وهو يصمد في عدد من عمليات التسليم أكبر بكثير مما تصمد فيه أي وثيقة سياسات يتوقف الناس عن قراءتها.