Μια απομακρυσμένη ομάδα μοιράζεται κωδικούς και κλειδιά όπως μοιράζεται και όλα τα άλλα: στο chat, ανάμεσα σε ζώνες ώρας, συχνά από το τραπέζι της κουζίνας, σε έναν φορητό υπολογιστή που τρέχει και την υπηρεσία streaming της οικογένειας. Η παλιά συνήθεια του γραφείου, να σκύψει κανείς και να διαβάσει έναν κωδικό πρόσβασης από την οθόνη του διπλανού, έχει δώσει τη θέση της στην επικόλλησή του σε ένα προσωπικό μήνυμα. Και το προσωπικό μήνυμα μένει για πάντα.
Η ασφαλής κοινή χρήση μυστικών για απομακρυσμένες ομάδες δεν χρειάζεται μεγάλο πρόγραμμα. Χρειάζεται μια καταγραφή, έναν κανόνα για την επιλογή εργαλείου, μια σύντομη πολιτική που ο καθένας μπορεί να θυμάται, το εργαλείο εκεί όπου ήδη δουλεύει η ομάδα και ένα σχέδιο για τις δύο στιγμές που προκαλούν τις περισσότερες διαρροές: τις αποχωρήσεις και τα λάθη. Ακολουθεί αυτή η οργάνωση σε πέντε βήματα.
Βήμα 1: μάθετε τι προστατεύετε
Αφιερώστε μία ώρα για να καταγράψετε τα μυστικά που χειρίζεται η ομάδα και πού βρίσκεται σήμερα το καθένα. Οι περισσότερες ομάδες βρίσκουν τα ίδια πράγματα:
- Κοινόχρηστοι λογαριασμοί σύνδεσης σε εργαλεία SaaS που δεν υποστηρίζουν SSO ή λογαριασμούς ανά χρήστη.
- Κλειδιά API και token για παρόχους πληρωμών, email, cloud και στατιστικών.
- Διαπιστευτήρια υποδομής: κωδικοί πρόσβασης βάσεων δεδομένων, κλειδιά SSH, κλειδιά deploy, κλειδιά υπογραφής, πιστοποιητικά.
- Κωδικοί ανάκτησης και αντίγραφα ασφαλείας MFA για τους παραπάνω λογαριασμούς.
- Διαπιστευτήρια που δίνουν οι πελάτες και χρειάζεται η υποστήριξη για ένα αίτημα.
Για το καθένα, ακολουθήστε τη διαδρομή του από τη δημιουργία μέχρι κάθε σημείο όπου αποθηκεύτηκε ή στάλθηκε. Η λίστα με τα νήματα συζήτησης, τις εφαρμογές προσωπικών σημειώσεων και τους κωδικούς πρόσβασης που αποθηκεύει το πρόγραμμα περιήγησης είναι το πραγματικό μητρώο κινδύνων, και είναι μεγαλύτερη από ό,τι περιμένει οποιοσδήποτε.
Βήμα 2: ένας κανόνας για το ποιο εργαλείο χρησιμοποιείτε
Οι απομακρυσμένες ομάδες χρειάζονται δύο εργαλεία και έναν απλό κανόνα για να διαλέγουν ανάμεσά τους.
| Αν το μυστικό | Χρησιμοποιήστε | Επειδή |
|---|---|---|
| Χρησιμοποιείται επανειλημμένα από πολλά άτομα | Έναν ομαδικό διαχειριστή κωδικών πρόσβασης ή διαχειριστή μυστικών | Επώνυμη πρόσβαση, ανάκληση, εναλλαγή, MFA στην κρύπτη |
| Δίνεται σε ένα άτομο μία φορά ή είναι προσωρινό | Έναν μυστικό σύνδεσμο μίας χρήσης | Κρυπτογραφείται στο πρόγραμμα περιήγησης, καταστρέφεται στο πρώτο άνοιγμα, δεν μένει τίποτα στο μήνυμα |
| Το διαβάζει κώδικας ή CI | Τον χώρο αποθήκευσης μυστικών της πλατφόρμας ή έναν διαχειριστή μυστικών | Κανένα αντίγραφο σε άνθρωπο |
Η κρύπτη είναι το επίσημο αρχείο. Ο σύνδεσμος μίας χρήσης είναι ο μηχανισμός μεταφοράς για όσα δεν χωρούν στην κρύπτη: τον εξωτερικό συνεργάτη που δεν θα μπει ποτέ στην κρύπτη σας, τα διαπιστευτήρια της πρώτης ημέρας ενός νέου συναδέλφου, τον προσωρινό κωδικό διαχειριστή που χρειάζεται ένας συνάδελφος τώρα αμέσως, στις 2 τα ξημερώματα με τη δική του ώρα. Ο οδηγός μυστικοί σύνδεσμοι ή διαχειριστές κωδικών πρόσβασης καλύπτει τις οριακές περιπτώσεις.
Όταν αξιολογείτε οποιοδήποτε από τα δύο εργαλεία, κάντε τέσσερις ερωτήσεις: πού γίνεται η κρυπτογράφηση, ποιος μπορεί να δει τη μη κρυπτογραφημένη τιμή, τι καταγράφεται και αν μπορεί να ανακληθεί. Για τους μυστικούς συνδέσμους του LinkPilot οι απαντήσεις είναι: στο πρόγραμμα περιήγησής σας, κανείς εκτός από τον παραλήπτη, ιστορικό ενεργειών στο πακέτο Pro, και ναι, μέχρι να ανοιχτεί ο σύνδεσμος. Ο οδηγός για την κρυπτογράφηση στην πλευρά του χρήστη εξηγεί τι προστατεύει και τι όχι η κρυπτογράφηση στο πρόγραμμα περιήγησης.
Βήμα 3: γράψτε μια πολιτική τριών κανόνων
Όποιος δουλεύει μόνος του σε περίεργες ώρες δεν διαβάζει μακροσκελείς πολιτικές. Τρεις κανόνες καλύπτουν το μεγαλύτερο μέρος του κινδύνου:
- Τα μυστικά δεν μπαίνουν ποτέ σε chat, email, αιτήματα υποστήριξης ή έγγραφα. Ούτε «προσωρινά». Ούτε με διαγραφή μετά. Χρησιμοποιήστε την κρύπτη ή έναν σύνδεσμο μίας χρήσης.
- Κάθε άτομο έχει τον δικό του λογαριασμό σύνδεσης όπου το επιτρέπει το σύστημα, με τα δικαιώματα που χρειάζεται ο ρόλος του. Οι κοινόχρηστοι λογαριασμοί μένουν στην κρύπτη με επώνυμη πρόσβαση, ποτέ σε ένα καρφιτσωμένο μήνυμα.
- Κάθε παράδοση έχει υπεύθυνο και ημερομηνία λήξης. Όποιος μοιράζεται ένα μυστικό καταγράφει ποιος το πήρε, γιατί και πότε τελειώνει η πρόσβαση, χωρίς να καταγράφει την τιμή.
Στηρίξτε τους κανόνες με έλεγχο ταυτότητας πολλών παραγόντων στην κρύπτη και σε κάθε λογαριασμό που μπορεί να δημιουργεί ή να εμφανίζει μυστικά, και με μια ελάχιστη απαίτηση για τις συσκευές: πλήρης κρυπτογράφηση δίσκου, κλείδωμα οθόνης και κανένα μυστικό σε εφαρμογές προσωπικών σημειώσεων ή σε αποθηκευμένους κωδικούς που συγχρονίζει το πρόγραμμα περιήγησης.
Βήμα 4: βάλτε το εργαλείο εκεί όπου βρίσκεται ήδη η ομάδα
Μια πολιτική που απαιτεί να ανοίξετε άλλη μια καρτέλα χάνει από τη συνήθεια. Βάλτε τον ασφαλή δρόμο μέσα στο εργαλείο chat.
- Εγκαταστήστε την εφαρμογή LinkPilot για Slack. Η εντολή
/secretαπαντά μόνο σε εσάς με έναν σύνδεσμο μίας χρήσης για να τον δημοσιεύσετε στο κανάλι. Το--ttl 1h,6h,24hή7dορίζει τη λήξη, κάτι που μετράει όταν ο παραλήπτης κοιμάται. Η συντόμευση «Send as secret link» σώζει την κατάσταση όταν κάποιος έχει ήδη επικολλήσει έναν κωδικό: τον αντικαθιστά με σύνδεσμο. - Ορίστε την επέκταση της κρύπτης για το πρόγραμμα περιήγησης ως προεπιλογή, ώστε να είναι πιο εύκολο να αναζητήσει κανείς κάτι εκεί από το να το ζητήσει στο chat.
- Αυτοματοποιήστε όπου ο κώδικας χρειάζεται μυστικά. Το CI και τα deployments τα παίρνουν απευθείας από τον χώρο αποθήκευσης μυστικών, οπότε κανένας μηχανικός δεν αντιγράφει ποτέ μια τιμή παραγωγής για να την επικολλήσει κάπου.
Για μια παράδοση ανάμεσα σε ζώνες ώρας, η σειρά είναι: δημιουργήστε τον σύνδεσμο με λήξη 24 ωρών, στείλτε τον με μία γραμμή για τον σκοπό του, στείλτε το όνομα χρήστη και το πλαίσιο σε χωριστό μήνυμα και ζητήστε από τον παραλήπτη να επιβεβαιώσει την πρόσβαση όταν συνδεθεί. Αν ο σύνδεσμος δείχνει ότι άνοιξε πριν φτάσει σε αυτόν ο παραλήπτης, αλλάξτε την τιμή. Ο οδηγός για τα διαπιστευτήρια ανάμεσα σε ομάδες περιγράφει ολόκληρη τη διαδικασία παράδοσης.
Βήμα 5: σχεδιάστε για αποχωρήσεις και διαρροές
Τα μυστικά εκτίθενται συνήθως σε δύο στιγμές: όταν κάποιος φεύγει και όταν κάποιος κάνει λάθος.
Αποχωρήσεις. Κρατήστε μια λίστα ελέγχου: αφαιρέστε το άτομο από την κρύπτη και από κάθε σύστημα με ατομικό λογαριασμό, αλλάξτε κάθε κοινόχρηστο διαπιστευτήριο που θα μπορούσε να έχει δει, ανακαλέστε τα κλειδιά API και τις συνεδρίες του και ελέγξτε για μυστικά που κρατούσε έξω από την κρύπτη. Περάστε τη λίστα την ίδια ημέρα, και όταν η συνεργασία με έναν εξωτερικό συνεργάτη τελειώνει αθόρυβα.
Αλλαγές ρόλου. Η μετακίνηση σε άλλη ομάδα σημαίνει επανέλεγχο, όχι μηδενισμό. Αφαιρέστε την πρόσβαση στις συλλογές της κρύπτης της παλιάς ομάδας και σε ό,τι σχετίζεται με την παραγωγή και δεν το χρειάζεται πια.
Διαρροές. Κάντε την αναφορά εύκολη και χωρίς επιρρίψεις ευθυνών. Όποιος επικόλλησε ένα κλειδί σε λάθος κανάλι πρέπει να μπορεί να το πει με ένα μήνυμα και να ξέρει τι ακολουθεί: ο υπεύθυνος αλλάζει την τιμή, ενημερώνει τις εργασίες που τη χρησιμοποιούν και ελέγχει το ιστορικό εξαγωγών του καναλιού. Η μόνη κακή έκβαση είναι η διαρροή που δεν αναφέρει κανείς.
Παρακολούθηση. Ελέγχετε το αρχείο πρόσβασης της κρύπτης και το ιστορικό ενεργειών των μυστικών συνδέσμων με συχνότητα ανάλογη με την ευαισθησία τους. Αναζητήστε εμφανίσεις σε περίεργες ώρες, πρόσβαση από απρόσμενα σημεία και κοινοποιήσεις που δεν αντιστοιχούν σε καταγεγραμμένη παράδοση.
Πέντε βήματα, δύο εργαλεία, τρεις κανόνες. Μια απομακρυσμένη ομάδα που τα έχει εφαρμόσει μοιράζεται μυστικά πιο ασφαλώς από ό,τι οι περισσότερες ομάδες γραφείου κατάφεραν ποτέ, επειδή η διαδικασία δεν εξαρτάται από το ποιος τυχαίνει να κάθεται δίπλα.