http://www.devopspro.ru/wp-content/uploads/2017/08/Ignat-Korchagin-320x320.jpg
Cloudflare, UK

Игнат Корчагин


Игнат — системный инженер в Cloudflare. Занимается в основном вопросами программной и аппаратной безопасности. Интересуется криптографией и низкоуровневым программированием. До Cloudflare Игнат работал старшим разработчиком по безопасности мобильных платформ в Samsung Electronics. Его решения до сих пор используются в некоторых мобильных телефонах и планшетах Samsung.


Доклад

Масштабируемое управление секретами в облаке с использованием менеджера паролей

Управление большим кластером, датацентром или большой распределенной вычислительной сетью всегда подразумевает управление огромным количеством различных секретов (криптографических ключей, токенов, паролей и т.д.). На каждой единице оборудования (сервере) используется, как правило, минимум 4 секрета: ключ SSH, ключ для системы автоматизированного управления конфигурациями, ключ для шифрования дисков и возможно другие секреты для авторизации на внешних сервисах. Также, очень часто необходимо чтобы эти секреты были установлены до того, как стартует система управления конфигурациями, что делает саму автоматизацию установки этих секретов затруднительной.

С точки зрения безопасности, необходимо четко контролировать где и когда эти секреты будут сгенерированы. Часто ключи генерируются скриптами начальной загрузки, что не есть оптимальным вариантом, потому-что на начальных этапах загрузки в системном генераторе псевдослучайных чисел может быть недостаточно энтропии, что может привести к генерации статистически слабых ключей.

И наконец, когда все ключи сгенерированы, их надо где-то безопасно хранить. Шифрованные диски отлично подходят для безопасного хранения подобной информации, но тут возникает проблема курицы и яйца: для доступа к зашифрованному диску нужен ключ, где тогда хранить этот ключ? Также, где хранить ключи для бездисковых систем?

В докладе представлен подход, основывающийся на сочетании аппаратных возможностей современных серверов и немного криптографии, который позволяет эффективно решить проблемы, описанные выше, а также значительно упростить автоматизированное управление секретами.

В подходе предусмотрены следующие вопросы:

  • простая автоматическая генерация ключей/паролей с высоким уровнем энтропии
  • удобная ротация ключей с помощью системы автоматизированного управления конфигурациями
  • управление ключами для бездисковых систем архитектура шифрования всех дисков системы без внешних зависимостей


Свяжитесь