Em ambientes de TI, alguns segredos são bem gerenciados e outros passam despercebidos. Aqui está uma lista de verificação rápida de quais tipos de segredos as empresas geralmente gerenciam, incluindo um tipo que elas devem gerenciar:
- Senhas (x)
- Certificados TLS (x)
- Contas (x)
- Chaves SSH ???
Os segredos listados acima são normalmente protegidos com soluções de gerenciamento de acesso privilegiado (PAM) ou similares. No entanto, a maioria dos fornecedores tradicionais de PAM dificilmente falam sobre gerenciamento de chaves SSH. O motivo é simples: eles não têm a tecnologia para fazer isso corretamente.
Podemos provar isso. Todos os nossos clientes de gerenciamento de chaves SSH tiveram um PAM tradicional implantado, mas perceberam que não conseguiam gerenciar chaves SSH com ele. Na melhor das hipóteses, os PAMs tradicionais podem descobrir, e muito menos gerenciar, 20% de todas as chaves.
Então, qual é o problema com as chaves SSH?
Chaves SSH são credenciais de acesso no protocolo Safe Shell (SSH). Em muitos aspectos, elas são como senhas, mas funcionalmente diferentes. Além disso, as chaves tendem a superar as senhas, especialmente em ambientes de TI de longa information, na proporção de 10:1. Embora apenas algumas senhas sejam privilegiadas, quase todas as chaves SSH abrir portas para algo valioso.
Uma chave também pode abrir portas para vários servidores, assim como uma chave mestra em antigas mansões. Uma chave raiz permite acesso de administrador a um único servidor ou a vários. Após conduzir uma avaliação de risco conosco, um de nossos clientes descobriu uma chave raiz que permitia acesso a TODOS os seus servidores.
Outro risco é que qualquer um pode autoprovisionar chaves SSH. Elas não são gerenciadas centralmente, e é por design. É por isso que a proliferação de chaves é um problema persistente em ambientes de TI de larga escala.
E tem mais: as chaves não vêm com uma identidade por padrão, então compartilhá-las ou duplicá-las é muito fácil. Também com terceiros. Por padrão, as chaves nunca expiram.
Acima de tudo, há conexões interativas e automatizadas, sendo que estas últimas são mais prevalentes. Milhões de conexões automatizadas de aplicativo para aplicativo, servidor para servidor e máquina para máquina estão sendo executadas usando SSH todos os dias, mas poucas organizações (a maioria delas nossos clientes) têm controle sobre as credenciais de SSH da máquina.
Tenho certeza de que você entendeu: seu ambiente de TI pode estar cheio de chaves para seu reino, mas você não sabe quantas são, quem as está usando, quais são legítimas e quais devem ser excluídas, as chaves não têm information de validade e mais podem ser criadas à vontade sem supervisão adequada.
O problema principal é o seu problema principal.
Por que os PAMs tradicionais não conseguem manipular chaves SSH?
Como as chaves SSH são funcionalmente diferentes das senhas, os PAMs tradicionais não as gerenciam muito bem. Os PAMs legados foram criados para proteger senhas, e eles tentam fazer o mesmo com as chaves. Sem entrar em muitos detalhes sobre a funcionalidade das chaves (como chaves públicas e privadas), proteger chaves privadas e distribuí-las mediante solicitação simplesmente não funciona. As chaves devem ser protegidas no lado do servidor, caso contrário, mantê-las sob controle é um esforço inútil.
Além disso, sua solução precisa descobrir chaves primeiro para gerenciá-las. A maioria dos PAMs não consegue. Há também arquivos de configuração de chaves e outros elementos-chave(!) envolvidos que os PAMs tradicionais não percebem. Leia mais no seguinte documento:
Seu PAM não está completo sem o gerenciamento de chaves SSH
Mesmo que sua organização gerencie 100% de suas senhas, as probabilities são de que você ainda esteja perdendo 80% de suas credenciais críticas se não estiver gerenciando chaves SSH. Como inventores do protocolo Safe Shell (SSH), nós da SSH Communications Safety somos a fonte unique da credencial de acesso chamada chave SSH. Conhecemos os detalhes de seu gerenciamento.
Seu PAM não é à prova do futuro sem acesso sem credenciais
Vamos voltar ao tópico das senhas. Mesmo que você as tenha guardadas, você não as está gerenciando da melhor maneira possível. Ambientes modernos e dinâmicos – usando servidores de nuvem internos ou hospedados, contêineres ou orquestração Kubernetes – não funcionam bem com cofres ou com PAMs que foram construídos há 20 anos.
É por isso que oferecemos acesso efêmero moderno, onde os segredos necessários para acessar um alvo são concedidos just-in-time para a sessão e expiram automaticamente assim que a autenticação é feita. Isso não deixa senhas ou chaves para gerenciar – de forma alguma. Nossa solução também não é intrusiva: implementá-la requer mudanças mínimas em seu ambiente de produção.
Como isso reduz a superfície de ataque, elimina a complexidade, economiza custos e minimiza o risco? Leia mais aqui:
Então, a melhor maneira de gerenciar senhas E chaves é não ter que gerenciá-los de forma alguma e passar para o gerenciamento de segredos efêmeros. Assim:
“Gostaria de ainda estar rotacionando senhas e chaves.” Nenhum cliente jamais disse isso!
Uma vez que você fica sem credencial, você não volta mais. Acredite em nossos clientes que classificaram nossa solução com uma pontuação NPS de 71 – o que é astronômico no campo da segurança cibernética.
Os PAMs tradicionais têm funcionado bem até agora, mas é hora de preparar seu ambiente para o futuro com uma solução moderna que permite que você fique sem senha e sem chave. Em um ritmo confortável para você.
Confira nosso PrivX Zero Belief Suite para aprender como gerenciar acessos e segredos de maneira abrangente.
