Přihlašovací údaje přecházejí mezi týmy neustále. Platformní tým předá produktovému týmu klíč pro nasazení, podpora dostane přihlášení správce do portálu dodavatele, finanční oddělení předá vývojářům token k bankovnímu API kvůli integraci. Každé takové předání je rutina a právě při něm přihlašovací údaje nejčastěji skončí navždy ve vlákně ve Slacku.
Bezpečné předávání přihlašovacích údajů mezi týmy nestojí na chytrém nástroji. Stojí na jasném pravidle, který ze dvou nástrojů použít, a na několika návycích kolem něj. Tento návod popisuje to pravidlo i návyky: omezte rozsah údajů, doručte je tak, aby nebyly ve zprávě, určete vlastníka a včas přístup odeberte.
Jediné rozhodnutí, na kterém záleží: trezor, nebo jednorázový odkaz
Všechno ostatní vyplývá z toho, jak bude přijímající tým přihlašovací údaje používat.
| Přijímající tým je bude | Použijte | Proč |
|---|---|---|
| Používat dál, víc lidí, bez časového omezení | Sdílený trezor ve správci hesel nebo tajných údajů | Přístup podle jmen, zneplatnění a rotace na jednom místě |
| Používat jednou, nebo je jeden člověk potřebuje krátce | Jednorázový tajný odkaz | Zpráva nese jen odkaz, kopie se při prvním otevření zničí |
| Spouštět z kódu nebo z CI | Správce tajných údajů se strojovými identitami | Hodnotu nikdy neuvidí žádný člověk |
Trezor je hlavní evidence. Pokud se přihlašovací údaje budou používat i po předání, patří do sdíleného trezoru, který vlastní přijímající tým a do kterého se členové přidávají jménem. Většina firemních správců hesel a nástroje jako Vault nebo AWS Secrets Manager to zvládají dobře.
Jednorázový odkaz slouží pro okamžik předání, kdy se trezor nehodí: příjemce ve vašem trezoru není, údaje jsou dočasné nebo potřebujete hodnotu předat jednomu člověku hned teď. Tajná zpráva se zašifruje ve vašem prohlížeči, uložená kopie se zničí při prvním otevření odkazu a samotný odkaz po vypršení platnosti přestane fungovat, pokud ho nikdo neotevře. Hraniční případy probírá článek Tajné odkazy, nebo správci hesel.
Nikdy nepoužívejte e-mail, chat, sdílené dokumenty ani tikety. Všechny uchovávají kopie, všechny se synchronizují do zařízení, která nemáte pod kontrolou, a ve všech může hledat další člověk, který se do účtu dostane.
Omezte rozsah údajů dřív, než je předáte
Dobrý kanál nenapraví přihlašovací údaje s příliš velkými oprávněními.
- Vytvořte samostatný účet pro přijímající tým nebo člověka, místo abyste půjčovali účet vázaný na konkrétní osobu. Sdílené identity nejde auditovat ani čistě odebrat.
- Udělte oprávnění, která úkol vyžaduje. Tým, který čte reporty, nepotřebuje právo zápisu. Tým, který nasazuje, nepotřebuje přístup k fakturaci.
- Pokud hodnota už putovala, nejdřív ji vyměňte. Pokud se stávající klíč už kopíroval z místa na místo, vydejte pro předání nový a starý dál nešiřte.
- Prohledejte související materiály. Tikety, provozní příručky, ukázkové konfigurace a skripty připojené k práci často obsahují právě ty přihlašovací údaje, které se chystáte předat. Odstraňte je před předáním, jinak je samotné předání tím nejmenším rizikem.
Samotné předání
- Ověřte příjemce kanálem, kterému vaše organizace už věří: tiketem, známým vedoucím, videohovorem. Podobně vypadající adresy a automaticky doplněná jména jsou obvyklou cestou, jak se důvěrné údaje dostanou k nesprávnému člověku.
- Doručte údaje zvoleným nástrojem. Trezor: přidejte člověka do sdílené kolekce. Odkaz: vložte hodnotu do nástroje pro jednorázové tajné odkazy, nastavte vypršení platnosti podle skutečné potřeby (hodina, pokud příjemce čeká, den přes časová pásma), omezte počet zobrazení na jedno, u čehokoli citlivého přidejte v účtu s tarifem Pro heslovou frázi a odkaz pošlete.
- Kontext pošlete zvlášť. Uživatelské jméno, hostitel a to, k čemu údaje dávají přístup, patří do běžné zprávy, nikdy vedle odkazu. Jediná uniklá zpráva nesmí nikdy obsahovat obě poloviny.
- Zaznamenejte předání do své hlavní evidence bez tajné hodnoty: příjemce, účel, systém, vlastník, datum konce.
- Žádejte potvrzení přístupu, ne hodnoty. „Dokážete se přihlásit?“ je správná otázka. „Pošlete mi klíč zpátky, ať to zkontroluji“ správná není.
Pro tým, který to dělá často, je tu aplikace LinkPilot pro Slack. Vložené heslo přímo v kanálu promění v jednorázový odkaz, takže návyk nezávisí na tom, zda si každý vzpomene otevřít další nástroj.
Určete vlastníka a pak pravidelně kontrolujte
Přihlašovací údaje bez vlastníka nikdo nevymění ani neodebere. Přijímající tým má určit jednoho člověka, který za hodnotu odpovídá: kdo ji má, kdo další ji potřebuje a kdy přestane platit.
- Nejnižší nutná oprávnění podle role, se skupinami nebo rolemi tam, kde zjednoduší správu, aby odchod jednoho člověka neznamenal reset v každém systému.
- Vícefázové ověření na trezoru, protože teď je terčem útoku právě trezor.
- Četnost kontrol podle citlivosti: u většiny sdílených přihlašovacích údajů čtvrtletně, u přístupu do produkce při každé změně v týmu.
- Auditujte předání. Trezor ukazuje, kdo k čemu přistupoval. Účet LinkPilot s tarifem Pro ukazuje u každého tajného odkazu časovou osu auditu, takže vidíte, kdy proběhlo jednorázové zobrazení, a můžete ho porovnat s potvrzením příjemce.
Vypršení platnosti, rotace a vyzrazení
Konec života přihlašovacích údajů určete dřív, než začne.
- Dočasný přístup končí v dohodnutý den. Odeberte účet nebo členství v trezoru a zneplatněte každý jednorázový odkaz, který nikdo neotevřel.
- Rotace se řídí rizikem, nejen kalendářem: po odchodu člověka, po změně dodavatele, po každém podezření na vyzrazení a podle plánu u všeho, co platí dlouho.
- Podezření na únik je únik, dokud se neprokáže opak. Vyměňte údaje v systému, který je přijímá, informujte vlastníka a aktualizujte úlohy a služby, které závisely na staré hodnotě. Návod ke klíčům API obsahuje kontrolní seznam pro rotaci, který platí pro většinu typů přihlašovacích údajů.
Dva nástroje, jedno pravidlo, jak mezi nimi volit, a vlastník u každé hodnoty. To je celý systém a vydrží mnohem víc předání než jakákoli směrnice, kterou lidé přestanou číst.