Les credencials passen d'un equip a un altre constantment. L'equip de plataforma dona una clau de desplegament a un equip de producte, l'equip de suport rep les dades d'accés d'administrador del portal d'un proveïdor, l'equip de finances passa el testimoni de l'API del banc a enginyeria per a una integració. Cada lliurament és rutinari, i cada un és el punt on una credencial acaba més sovint en un fil de Slack per sempre.
Una manera segura de lliurar credencials entre equips depèn menys d'una eina enginyosa que d'una norma clara per decidir quina de dues eines cal fer servir, més uns quants hàbits al voltant. Aquesta guia exposa aquesta norma i aquests hàbits: limitar l'abast de la credencial, lliurar-la sense posar-la en un missatge, designar-ne un responsable i retirar-la a temps.
L'única decisió que importa: caixa forta o enllaç d'un sol ús
Tota la resta depèn de com farà servir la credencial l'equip que la rep.
| L'equip que la rep… | Feu servir | Per què |
|---|---|---|
| La continuarà fent servir, diverses persones, sense data de final | Una caixa forta compartida al gestor de contrasenyes o de secrets | Accés nominal, revocació i rotació en un sol lloc |
| La farà servir una vegada, o una sola persona la necessita poc temps | Un enllaç secret d'un sol ús | El missatge només porta un enllaç, i la còpia es destrueix la primera vegada que s'obre |
| L'executarà des del codi o des de la CI | Un gestor de secrets amb identitats de màquina | Cap persona no veu mai el valor |
La caixa forta és el sistema de referència. Si la credencial ha de viure més enllà del lliurament, ha d'anar a una caixa forta compartida que sigui de l'equip que la rep, amb els membres afegits pel seu nom. La majoria de gestors de contrasenyes per a empreses i eines com Vault o AWS Secrets Manager ho fan bé.
L'enllaç d'un sol ús és per al moment del traspàs quan la caixa forta no és l'opció adequada: el destinatari no és a la vostra caixa forta, la credencial és temporal o heu de passar un valor a una persona ara mateix. El secret es xifra al vostre navegador, la còpia desada queda destruïda la primera vegada que s'obre l'enllaç, i l'enllaç mateix deixa de funcionar quan caduca si ningú no l'obre. Enllaços secrets o gestors de contrasenyes repassa els casos límit.
Mai correu, xat, documents compartits ni tiquets. Tots guarden còpies, tots se sincronitzen amb dispositius que no controleu i en tots pot cercar la propera persona que entri al compte.
Limiteu l'abast de la credencial abans que es mogui
Un bon canal no pot arreglar una credencial amb massa permisos.
- Creeu un compte separat per a l'equip o la persona que la rep, en lloc de deixar-ne un de lligat a una persona concreta. Les identitats compartides no es poden auditar ni es poden retirar netament.
- Doneu els permisos que necessita la tasca. Un equip que llegeix informes no necessita accés d'escriptura. Un equip que desplega no necessita accés a la facturació.
- Roteu-la primer si el valor ja ha circulat. Si la clau actual s'ha enganxat per aquí i per allà, genereu-ne una de nova per al lliurament en lloc d'escampar encara més l'antiga.
- Cerqueu en el material relacionat. Els tiquets, els manuals d'operacions, les configuracions d'exemple i els scripts adjunts a la feina sovint contenen la mateixa credencial que esteu a punt de lliurar. Traieu-la abans del lliurament; si no, el lliurament és el menor dels riscos d'exposició.
El lliurament
- Verifiqueu el destinatari per un canal en què la vostra organització ja confiï: el tiquet, un responsable conegut, una videotrucada. Les adreces que s'hi assemblen i els noms emplenats automàticament són la manera habitual que un secret acabi on no toca.
- Lliureu-la amb l'eina triada. Caixa forta: afegiu la persona a la col·lecció compartida. Enllaç: enganxeu el valor a l'eina d'enllaços secrets d'un sol ús, poseu una caducitat que s'ajusti al marge real (una hora si la persona està esperant, un dia si hi ha fusos horaris pel mig), limiteu les visualitzacions a una, afegiu una frase de contrasenya amb un compte Pro per a qualsevol cosa delicada i envieu l'enllaç.
- Envieu el context a part. El nom d'usuari, l'amfitrió i a què dona accés la credencial van en un missatge normal, mai al costat de l'enllaç. Un sol missatge filtrat no ha de contenir mai les dues meitats.
- Registreu el lliurament al vostre sistema de referència, sense el secret: destinatari, finalitat, sistema, responsable, data de final.
- Demaneu que confirmin l'accés, no el valor. «Podeu iniciar la sessió?» és la pregunta correcta. «Torneu-me la clau per comprovar-la» no ho és.
Per a un equip que ho fa sovint, l'aplicació de LinkPilot per a Slack converteix una contrasenya enganxada en un enllaç d'un sol ús des del mateix canal, de manera que l'hàbit no depèn que tothom recordi obrir una altra eina.
Designeu un responsable i reviseu periòdicament
Les credencials sense responsable no es roten ni es retiren mai. L'equip que la rep ha de designar una persona que respongui del valor: qui el té, qui més el necessita i quan desapareix.
- Mínim privilegi per rol, amb rols o grups quan simplifiquin l'administració, perquè una baixa no signifiqui restablir l'accés a cada sistema un per un.
- Autenticació multifactor a la caixa forta, perquè ara la caixa forta és el que val la pena atacar.
- Un ritme de revisió que s'ajusti a la sensibilitat: cada trimestre per a la majoria de credencials compartides, i a cada canvi a l'equip per a l'accés de producció.
- Auditeu els lliuraments. Una caixa forta mostra qui ha accedit a què. Un compte Pro de LinkPilot mostra una cronologia d'auditoria per a cada enllaç secret, perquè pugueu veure quan s'ha mostrat el secret d'un sol ús i contrastar-ho amb la confirmació del destinatari.
Caducitat, rotació i exposició
Decidiu com acaba la vida de la credencial abans que comenci.
- L'accés temporal acaba en la data acordada. Suprimiu el compte o la pertinença a la caixa forta i revoqueu qualsevol enllaç d'un sol ús que no s'hagi obert.
- La rotació segueix el risc, no només el calendari: després d'una baixa, després d'un canvi de proveïdor, després de qualsevol sospita d'exposició, i periòdicament per a tot el que sigui de llarga durada.
- Una sospita de filtració és una filtració fins que es demostri el contrari. Roteu la credencial al sistema que l'accepta, aviseu el responsable i actualitzeu les tasques i els serveis que depenien del valor antic. La guia sobre claus d'API inclou una llista de comprovació de la rotació que serveix per a la majoria de tipus de credencials.
Dues eines, una norma per triar entre totes dues i un responsable per a cada valor. Aquest és tot el sistema, i aguanta molts més lliuraments que qualsevol document de política que la gent deixa de llegir.