В процессах разработки программного обеспечения приложениям требуются конфиденциальные данные (секреты), такие как ключи API, учетные данные баз данных, пароли и сертификаты, для правильного функционирования. Однако хранение этих секретов внутри кода, в файлах конфигурации или в переменных окружения несет значительные риски безопасности. Утечки, несанкционированный доступ или неправильные конфигурации могут привести к серьезным нарушениям данных.

Почему традиционные методы неэффективны?

• Переменные окружения: Часто видны в списках процессов, трудно управляемы в распределенных системах.
• Файлы конфигурации: Могут быть случайно закоммичены в системы контроля версий (например, Git), открыты для несанкционированного доступа.
• Жесткое кодирование в коде: Одна из худших практик, требующая перекомпиляции кода, если секреты нужно изменить или обновить.

Для решения этих проблем нам необходимо централизованное решение для управления секретами, такое как HashiCorp Vault. Vault разработан для безопасного хранения, доступа и управления всеми секретами, необходимыми вашим приложениям.

Что такое HashiCorp Vault?

HashiCorp Vault - это инструмент, который предоставляет централизованное хранение секретов, контроль доступа и услуги шифрования. Он позволяет разработчикам безопасно получать доступ к конфиденциальной информации, используемой в их приложениях. Ключевые особенности Vault включают:

• Хранение секретов: Может хранить пары ключ/значение, динамические секреты (учетные данные баз данных), сертификаты и т.д.
• Шифрование данных: Предоставляет API для операций шифрования/дешифрования данных, предлагая услуги шифрования без необходимости хранения самих данных в Vault.
• Контроль доступа: Определяет, кто может получить доступ к какому секрету и на какой срок, с помощью подробных политик (ACL).
• Журнал аудита: Аудитирует все действия по доступу к секретам и их управлению.

Базовая настройка и использование Vault для разработчиков (локальная среда)

Запустить Vault в режиме dev в вашей локальной среде разработки довольно просто. Этот режим предназначен для тестирования и обучения; для производственных сред требуется другая конфигурация.

vault server -dev -dev-listen-address="0.0.0.0:8200"

Эта команда запускает Vault в режиме разработки и по умолчанию показывает корневой токен. Вы можете войти в Vault, используя этот токен:

export VAULT_ADDR='http://127.0.0.1:8200' # По умолчанию 127.0.0.1:8200, если dev-listen-address не использовался.

vault login <root_token>

Использование движка секретов KV (хранилище ключ/значение)

Одним из наиболее часто используемых движков секретов является движок KV (Key/Value). Он идеально подходит для хранения статических секретов, таких как конфигурации приложений и ключи API. Движок KV-v2 обеспечивает поддержку версионирования.

Сначала давайте включим движок KV-v2:

vault secrets enable -version=2 kv

Теперь давайте создадим секрет. Например, ключ API и имя пользователя базы данных для нашего приложения:

vault kv put kv/myapp/config api_key="superSecretAPIKey123" db_user="app_admin" db_password="Pa$$w0rd"

Чтобы прочитать этот секрет:

vault kv get kv/myapp/config

--- Key --- Value ---version     1api_key     superSecretAPIKey123db_password Pa$$w0rddb_user     app_admin

Получение секретов с помощью приложения Python

Теперь давайте посмотрим, как получить эти секреты через приложение Python. Мы будем использовать библиотеку hvac.

pip install hvac

import hvacimport os# Адрес сервера VaultVAULT_ADDR = os.getenv('VAULT_ADDR', 'http://127.0.0.1:8200')# В режиме разработки мы используем корневой токен. В продакшене следует отдавать предпочтение более безопасным методам.VAULT_TOKEN = os.getenv('VAULT_TOKEN', '<ваш_корневой_токен_здесь>') # Замените на ваш корневой токенclient = hvac.Client(url=VAULT_ADDR, token=VAULT_TOKEN)if client.is_authenticated():    print("Успешное подключение к Vault!")    try:        read_response = client.secrets.kv.v2.read_secret_version(            mount_point='kv',            path='myapp/config'        )        api_key = read_response['data']['data']['api_key']        db_user = read_response['data']['data']['db_user']        db_password = read_response['data']['data']['db_password']        print(f"Ключ API: {api_key}")        print(f"Пользователь БД: {db_user}")        print(f"Пароль БД: {db_password}")    except Exception as e:        print(f"Ошибка чтения секрета: {e}")else:    print("Аутентификация Vault не удалась.")

Важное примечание: В производственных средах вместо использования root_token следует использовать один из различных методов аутентификации, предоставляемых Vault (например, AppRole, Kubernetes Service Account). Этот пример демонстрирует основной принцип работы.

Управление политиками (ACL)

Все в Vault основано на политиках (ACL - Access Control List). Вы определяете, кто может получить доступ к какому пути с какими разрешениями, используя политики. Например, давайте создадим политику, которая предоставляет только доступ для чтения к пути myapp-config.

Давайте создадим файл с именем myapp-policy.hcl:

path "kv/data/myapp/config" {  capabilities = ["read"]}

Запишите эту политику в Vault:

vault policy write myapp-readonly myapp-policy.hcl

Теперь, связав эту политику с токеном или методом аутентификации (например, AppRole), мы можем гарантировать, что только пользователи/приложения, авторизованные этой политикой, могут читать секреты из пути kv/data/myapp/config.

Динамические секреты: Учетные данные баз данных

Одной из самых мощных функций Vault являются динамические секреты. С помощью этой функции приложения могут получать учетные данные, которые создаются по запросу, имеют короткий срок действия и действительны только для этого конкретного запроса. Например, мы можем создавать динамических пользователей для базы данных. Таким образом, даже если секрет будет скомпрометирован, риск минимизируется из-за его короткого срока действия.

Давайте включим движок динамических секретов для PostgreSQL:

vault secrets enable postgresql

Настройте информацию о подключении к базе данных (этот пример предполагает, что PostgreSQL запущен на Docker):

vault write postgresql/config/connection connection_url="postgresql://{{username}}:{{password}}@localhost:5432/mydb"

Теперь давайте определим роль. Эта роль будет создавать нового пользователя базы данных на определенный срок (например, 1 минуту):

vault write postgresql/roles/my-app-role 
oles="myapp_read_only" 	tl="1m" 
enewal_period="1m" 
ative_tls=false 
evoke_on_delete=true 
evocation_sql="DROP USER IF EXISTS "{{name}}" CASCADE;" \
creation_statements="CREATE ROLE "{{name}}" WITH LOGIN PASSWORD '{{password}}' VALID UNTIL '{{expiration}}'; GRANT SELECT ON ALL TABLES IN SCHEMA public TO "{{name}}";"

Запросите динамические учетные данные от этой роли:

vault read postgresql/creds/my-app-role

Key                Value---                -----lease_id           postgresql/creds/my-app-role/<UUID>lease_duration     1mlease_renewable    truedata              map[password:g9e...N92 username:v-token-my-app-role-<UUID>]

Как видите, Vault автоматически сгенерировал имя пользователя и пароль, и эти учетные данные действительны всего 1 минуту. Ваше приложение подключается к базе данных, используя эти учетные данные, и по истечении срока действия Vault может автоматически отозвать или обновить этого пользователя.

Заключение

HashiCorp Vault - это мощный инструмент, который делает управление секретами в современных приложениях безопасным и масштабируемым. Устраняя уязвимости безопасности, связанные с переменными окружения или файлами конфигурации, вы можете управлять своими секретами из централизованного расположения, применять политики доступа и даже создавать динамические, короткоживущие учетные данные. Как разработчики программного обеспечения, мы должны интегрировать такие инструменты в наш жизненный цикл разработки программного обеспечения (SDLC) для создания более безопасных приложений.