Crunu vs pliki .env wysyłane na czacie i w notatkach

Większość zespołów zaczyna tak samo. Ktoś potrzebuje adresu bazy danych ze środowiska staging, więc inna osoba z zespołu wkleja mu plik .env w prywatnej wiadomości. Nowa osoba w zespole dostaje notatkę z kluczami AWS. Zewnętrzny wykonawca dostaje klucz Stripe na czacie grupowym. To działa, nic nie kosztuje i nikt nie musi uczyć się nowego narzędzia.

Kłopot pojawia się później. Te same wartości żyją teraz w historii czatu, w wyszukiwarce, w eksportach i w notatkach każdego, kto je skopiował. Gdy ktoś odchodzi, nikt nie potrafi powiedzieć, kto widział który klucz, a jedyna bezpieczna odpowiedź to wygenerować wszystko ponownie. Ta strona uczciwie porównuje ten nawyk z Crunu, łącznie z sytuacjami, w których nawyk wystarcza.

Dla kogo jest które podejście

Czat i notatki wystarczą programiście pracującemu w pojedynkę albo dwóm osobom przy prototypie bez danych produkcyjnych, tylko z kluczami testowymi i bez strat, jeśli jakaś wartość wycieknie. Sprawdzą się też przy jednorazowym przekazaniu, gdy wartość zostanie zaraz potem wygenerowana ponownie.

Crunu pasuje każdemu zespołowi, w którym istnieją klucze produkcyjne, ludzie przychodzą i odchodzą, maszyny i CI potrzebują tych samych wartości, a ktoś kiedyś zapyta, kto miał dostęp do czego.

Porównanie punkt po punkcie

W czym czat i notatki są mocniejsze

• Zero konfiguracji. Twój zespół już używa komunikatora. Crunu wymaga konta i nie ma aplikacji mobilnych.
• Nic dodatkowego do pilnowania. Crunu dodaje do hasła Secret Key i Emergency Kit, a jego serwer nie może zresetować twojego hasła. Bez hasła, Secret Key i kodu odzyskiwania nikt nie otworzy konta, także Crunu.
• Szybkość w jednorazowej sprawie. Przy kluczu testowym, który jutro wyrzucisz, prywatna wiadomość jest szybsza niż jakikolwiek sejf.

Dlaczego tego nawyku nie da się łatwo cofnąć

Kopie się mnożą. Wklejony plik trafia do historii wiadomości i do wyszukiwarki, a czaty w chmurze Telegrama można czytać na każdym twoim urządzeniu. W płatnych planach Slacka wiadomości i pliki są przechowywane przez cały czas istnienia obszaru roboczego, chyba że właściciel ustawi zasady retencji. Notatka synchronizowana z chmurą to kolejna kopia w kolejnej usłudze.

Eksporty sięgają dalej niż czat. Właściciele i administratorzy obszaru roboczego w Slacku mogą eksportować wiadomości z kanałów publicznych. W planach Business+ i Enterprise eksport kanałów prywatnych i wiadomości bezpośrednich jest dostępny po złożeniu wniosku.

Szyfrowanie chroni transmisję, a nie nawyk. Slack szyfruje dane w transmisji i w spoczynku, a jego dodatek Enterprise Key Management pozwala klientom Enterprise używać własnych kluczy. Czaty w chmurze Telegrama są przechowywane w jego chmurze w postaci zaszyfrowanej; tylko czaty sekretne są szyfrowane end-to-end i przypisane do jednego urządzenia. Nic z tego nie ogranicza tego, kto w rozmowie może przeczytać i skopiować wartość.

Odejście nie ma czystego rozwiązania. Zalecenia OWASP mówią, że ujawnione klucze należy natychmiast unieważnić, a sekrety nigdy nie powinny być dostępne dla wszystkich. Gdy odchodzi ktoś, kto był na czacie, bezpieczne założenie jest takie, że każdy klucz z tego czatu został ujawniony.

Jak Crunu radzi sobie w tych samych sytuacjach

• Nowa osoba w zespole. Zaproś ją i przydziel jej profil dostępu, na przykład Editor w development i staging bez production.
• Wykonawca bez konta. Wyślij link dostępu do wybranych plików z terminem ważności, limitem wyświetleń albo hasłem. Klucz do odszyfrowania znajduje się w linku po znaku # i nigdy nie trafia na serwer. Podgląd linku w komunikatorze go nie zużywa; link otwiera się dopiero wtedy, gdy ktoś kliknie Open.
• Serwer lub potok. Zarejestruj serwer jako maszynę albo utwórz token usługowy powiązany przez OIDC z jednym repozytorium i gałęzią.
• Ktoś odchodzi. Proces usuwania członka zespołu wymienia klucze środowisk, unieważnia tokeny i linki tej osoby oraz podaje listę wartości do ponownego wygenerowania u dostawców.

Crunu nie sprawi, że ktoś zapomni wartość, którą już widział. Na to nadal pomaga tylko ponowne wygenerowanie u dostawcy, jak wyjaśnia strona o ograniczeniach.

Przejście na Crunu

1. Załóż konto i zapisz Emergency Kit.
2. Utwórz projekt dla każdej aplikacji ze środowiskami development, staging i production.
3. Przeciągnij pliki .env albo foldery, takie jak .aws, do każdego środowiska. Crunu odczytuje pliki KEY=VALUE, sekcje INI, płaski YAML i zwykły tekst. Osobiste klucze, takie jak ~/.aws/credentials, trafiają do twojego projektu osobistego.
4. Zaproś zespół i ustaw role w każdym środowisku.
5. Usuń stare wiadomości i notatki z sekretami, a każdy klucz produkcyjny, który kiedykolwiek wklejono na czacie, wygeneruj ponownie u dostawcy.