Повышение безопасности: автоматизация защиты API-токенов

Материал из Документация Ключ-АСТРОМ

Повышение безопасности: автоматизация защиты API-токенов

Случайное раскрытие учетных данных, таких как пароли или токены, представляет серьезную угрозу безопасности, особенно в масштабах предприятия. Учетные данные могут быть непреднамеренно раскрыты в файлах логов, общих документах и репозиториях исходного кода. Автоматическое обнаружение таких утечек и быстрое реагирование позволяют значительно снизить возможный ущерб.

Ключ-АСТРОМ разработан с учетом высочайших требований безопасности. Механизм автоматического обнаружения или предотвращения является единственным надежным и масштабируемым способом обеспечения максимальной безопасности. Необходимым условием для использования такого автоматизированного подхода является формат токена, который точно идентифицируется и не приводит к ложным срабатываниям.

Представляем новый формат токенов Ключ-АСТРОМ, предназначенный для автоматизации защиты токенов внутри организации.

Уникальный формат токенов Ключ-АСТРОМ

Новый формат API-токенов обеспечивает точную идентификацию и автоматизацию предотвращения угроз. Пример токена: 

dt0c01.ST2EY72KQINMH574WMNVI7YN.G3DFPBEJYMODIDAEX454M7YWBUVEFOWKPRVMWFASS64NFH52PX6BNDVFFM572RZM

Токен состоит из трех компонентов, разделенных точкой:

  • dt0c01 — уникальный префикс, идентифицирующий токен API Ключ-АСТРОМ.
  • ST2...7YN — публичная часть токена (24 символа). Допустимо отображать в пользовательском интерфейсе и использовать для логирования.
  • G3D...RZM — секретная часть токена (64 символа). Рассматривается как пароль, не должна отображаться в интерфейсе после создания и не должна сохраняться в файлах логов.

Точное сопоставление токенов обеспечивается регулярным выражением: 

dt0[a-zA-Z]{1}[0-9]{2}\.[A-Z0-9]{24}\.[A-Z0-9]{64}

Преимущества нового формата

Внутренний контроль безопасности

Сопоставление с шаблоном позволяет автоматизировать контроль безопасности внутри организации:

  • Использование хуков Git pre-commit для предотвращения отправки токенов в репозитории исходного кода (например, с помощью git-secrets).
  • Определение правил маскировки для сокрытия секретных частей токенов при записи лог-файлов.
  • Обнаружение токенов во внутренних файлах или сообщениях.

Интеграция со сканированием секретов GitHub

Новый формат позволяет сервису сканирования секретов GitHub идентифицировать токены, соответствующие формату API Ключ-АСТРОМ, в общедоступных репозиториях. Ведется работа над автоматическим оповещением при обнаружении открытого токена.

Этапы внедрения

Шаг 1: Опциональное включение нового формата

Новый формат токенов можно включить для проверки совместимости с автоматизацией (по умолчанию отключен). После включения все новые токены API генерируются в новом формате, существующие токены продолжают работать.

  • Версия Ключ-АСТРОМ 1.205: Настройки > Интеграция > Настройки токенов.
  • Управляемые развертывания с версии 1.206: настройки токенов среды.
  • Cluster Management Console с версии 1.208: Настройки > Токены API.

Шаг 2: Включение по умолчанию

С версии Ключ-АСТРОМ 1.210 новый формат включен по умолчанию для всех новых токенов. Возможность отказа от нового формата сохраняется на ограниченный период.

Необходимые действия

  • Проверить совместимость автоматизации с новым форматом, используя настройку в версии 1.205.
  • Заменить существующие токены на токены нового формата.

Рекомендуется регулярно обновлять токены API с использованием API токенов Ключ-АСТРОМ или API кластера (для управляемых развертываний).

Дальнейшие планы

  • Унификация формата для всех токенов Ключ-АСТРОМ с различными префиксами и длиной в зависимости от сценария (например, токены SCIM).
  • Внедрение автоматического обнаружения утечек токенов и механизма оповещения.
Источник — https://doc.ruscomtech.ru/index.php?title=Повышение_безопасности:_автоматизация_защиты_API-токенов&oldid=6463