פרטי התחברות עוברים בין צוותים כל הזמן. צוות הפלטפורמה מוסר מפתח פריסה לצוות מוצר, התמיכה מקבלת את פרטי הכניסה של המנהל לפורטל של ספק, הכספים מעבירים לפיתוח את טוקן ה-API של הבנק לצורך אינטגרציה. כל מסירה כזו היא שגרה, וכל אחת מהן היא המקום הנפוץ ביותר שבו פרטי התחברות נשארים לתמיד בשרשור ב-Slack.
דרך מאובטחת למסור פרטי התחברות בין צוותים תלויה פחות בכלי מתוחכם ויותר בכלל ברור שקובע באיזה משני כלים להשתמש, ובכמה הרגלים סביבו. המדריך הזה מציג את הכלל ואת ההרגלים: להגביל את ההרשאות של פרטי ההתחברות, למסור אותם בלי להכניס אותם להודעה, למנות אחראי ולהסיר אותם בזמן.
ההחלטה היחידה שחשובה: כספת או קישור חד-פעמי
כל השאר נגזר מהשאלה איך הצוות המקבל ישתמש בפרטי ההתחברות.
| הצוות המקבל | הכלי | למה |
|---|---|---|
| ימשיך להשתמש בהם, כמה אנשים, בלי הגבלת זמן | כספת משותפת במנהל הסיסמאות או במנהל הסודות שלכם | גישה לפי שם, ביטול גישה והחלפה במקום אחד |
| ישתמש בהם פעם אחת, או שאדם אחד צריך אותם לזמן קצר | קישור סודי חד-פעמי | ההודעה מכילה רק קישור, והעותק מושמד בפתיחה הראשונה |
| ישתמש בהם מתוך קוד או מ-CI | מנהל סודות עם זהויות מכונה | אף אדם לא רואה את הערך |
הכספת היא מקור האמת. אם לפרטי ההתחברות יש חיים אחרי המסירה, מקומם בכספת משותפת שבבעלות הצוות המקבל, עם חברים שנוספים בשמם. רוב מנהלי הסיסמאות לעסקים, וכלים כמו Vault או AWS Secrets Manager, עושים את זה היטב.
הקישור החד-פעמי מיועד לרגע ההעברה, כשכספת לא מתאימה: הנמען לא נמצא בכספת שלכם, פרטי ההתחברות זמניים, או שצריך להעביר ערך לאדם אחד עכשיו. הסוד מוצפן בדפדפן שלכם, העותק השמור מושמד בפעם הראשונה שפותחים את הקישור, ואם אף אחד לא פותח אותו, תוקף הקישור פג במועד שנקבע. קישורים סודיים לעומת מנהלי סיסמאות עובר על מקרי הקצה.
אף פעם לא באימייל, בצ'אט, במסמכים משותפים או בכרטיסי תמיכה. כולם שומרים עותקים, כולם מסתנכרנים למכשירים שאינם בשליטתכם, ובכולם יכול לחפש מי שייכנס הבא לחשבון.
הגבילו את פרטי ההתחברות לפני שמוסרים אותם
ערוץ טוב לא יכול לתקן פרטי התחברות עם יותר מדי הרשאות.
- צרו חשבון נפרד לצוות או לאדם המקבל, במקום להשאיל חשבון שקשור לאדם מסוים. בזהויות משותפות אי אפשר לדעת מי עשה מה, ואי אפשר להסיר אותן בצורה נקייה.
- תנו את ההרשאות שהמשימה צריכה. צוות שקורא דוחות לא צריך הרשאת כתיבה. צוות שמבצע פריסות לא צריך גישה לחיובים.
- החליפו קודם אם הערך כבר עבר מיד ליד. אם המפתח הקיים הודבק במקומות שונים, הנפיקו מפתח חדש למסירה במקום להפיץ את הישן עוד יותר.
- חפשו בחומרים שמסביב. כרטיסים, מדריכי הפעלה, קובצי תצורה לדוגמה וסקריפטים שמצורפים לעבודה מכילים לעיתים קרובות את אותם פרטי התחברות שאתם עומדים למסור. הסירו אותם לפני המסירה, אחרת המסירה היא הקטנה שבבעיות החשיפה שלכם.
המסירה עצמה
- אמתו את הנמען בערוץ שהארגון כבר סומך עליו: הכרטיס, מנהל מוכר, שיחת וידאו. כתובות שנראות דומות ושמות שהושלמו אוטומטית הם הדרך הרגילה שבה סוד מגיע לאדם הלא נכון.
- מסרו דרך הכלי שבחרתם. כספת: הוסיפו את האדם לאוסף המשותף. קישור: הדביקו את הערך בכלי לקישור סודי חד-פעמי, קבעו את התפוגה לחלון הזמן האמיתי (שעה אם הנמען מחכה, יום כשיש הפרש שעות), הגבילו את מספר הצפיות לאחת, הוסיפו ביטוי סיסמה בחשבון Pro לכל דבר רגיש, ושלחו את הקישור.
- שלחו את ההקשר בנפרד. שם המשתמש, השרת ומה פרטי ההתחברות פותחים נשלחים בהודעה רגילה, אף פעם לא לצד הקישור. הודעה אחת שדלפה לא אמורה להכיל אף פעם את שני החצאים.
- תעדו את המסירה במערכת התיעוד שלכם, בלי הסוד: נמען, מטרה, מערכת, אחראי, תאריך סיום.
- בקשו אישור שהגישה עובדת, לא אישור של הערך. "אתם מצליחים להתחבר?" היא השאלה הנכונה. "שלחו לי את המפתח בחזרה כדי שאבדוק" היא לא.
לצוות שעושה את זה הרבה, אפליקציית ה-Slack של LinkPilot הופכת סיסמה שהודבקה לקישור חד-פעמי מתוך הערוץ, כך שההרגל לא תלוי בכך שכולם יזכרו לפתוח כלי נוסף.
מנו אחראי, ואז בדקו לפי לוח זמנים
פרטי התחברות בלי אחראי אף פעם לא מוחלפים ואף פעם לא מבוטלים. הצוות המקבל צריך למנות אדם אחד שאחראי לערך: מי מחזיק בו, מי עוד צריך אותו ומתי הוא יוסר.
- הרשאות מינימליות לפי תפקיד, עם תפקידים או קבוצות כשהם מפשטים את הניהול, כדי שעזיבה של אדם אחד לא תחייב איפוס בכל מערכת.
- אימות רב-שלבי על הכספת, כי עכשיו הכספת היא מה ששווה לתקוף.
- קצב בדיקה שמתאים לרגישות: פעם ברבעון לרוב פרטי ההתחברות המשותפים, ובכל שינוי בצוות לגישה לסביבת הייצור.
- בקרו את המסירות. כספת מראה מי ניגש למה. חשבון Pro ב-LinkPilot מציג ציר זמן של יומן הביקורת לכל קישור סודי, כך שאפשר לראות מתי הוצג הסוד החד-פעמי ולהתאים את זה לאישור של הנמען.
תפוגה, החלפה וחשיפה
החליטו מתי פרטי ההתחברות יפסיקו לפעול עוד לפני שהם מתחילים לפעול.
- גישה זמנית מסתיימת בתאריך שסוכם. הסירו את החשבון או את החברות בכספת, ובטלו את הקישור החד-פעמי אם אף אחד לא פתח אותו.
- ההחלפה נקבעת לפי הסיכון, לא רק לפי לוח השנה: אחרי עזיבה, אחרי החלפת ספק, אחרי כל חשד לחשיפה, ולפי לוח זמנים לכל דבר ארוך טווח.
- חשד לדליפה הוא דליפה עד שהוכח אחרת. החליפו את הערך במערכת שמקבלת את פרטי ההתחברות, הודיעו לאחראי, ועדכנו את המשימות והשירותים שהיו תלויים בערך הישן. המדריך למפתחות API כולל רשימת בדיקה להחלפה שמתאימה לרוב סוגי פרטי ההתחברות.
שני כלים, כלל אחד לבחירה ביניהם ואחראי לכל ערך. זו כל השיטה, והיא מחזיקה לאורך הרבה יותר מסירות מכל מסמך מדיניות שאנשים מפסיקים לקרוא.