Příklady zahrnují klíče API, databázové přihlašovací údaje, privátní klíče, podpisové klíče, přístupové tokeny a další bearer přihlašovací údaje. Praxe pokrývá bezpečné generování, ukládání, distribuci, použití, rotaci či obnovu, odvolání, expiraci, obnovu a zničení — nikoli pouhé uložení hodnot do šifrovaného repozitáře.
Účinné návrhy minimalizují, kdo a co může každý secret získat, preferují krátkodobé či dynamicky vydávané přihlašovací údaje tam, kde je to praktické, a zabraňují tomu, aby se hodnoty objevily ve zdrojovém kódu, výstupech buildu, logách či kanálech podpory. Vlastnictví, účel, spotřebitelé a závislosti by měly být zaznamenány, aby secret mohl být změněn rychle, aniž by zůstaly aktivní staré kopie či vznikl nekontrolovaný výpadek.
Klíčové body
Kontroly životního cykluGenerujte s vhodnou silou, provisionujte přes chráněné cesty, omezujte přístup, nastavte přiměřenou životnost, bezpečně rotujte, promptně odvolávejte a odstraňujte zastaralé kopie.
Provozní kontrolySilně autentizujte úlohy, oddělujte prostředí, auditujte přístup a správu, detekujte expozici, testujte nouzovou obnovu a nacvičujte reakci na kompromitaci.
Preferovaný návrhRedukujte sdílené a dlouhodobé tajné údaje. Kde je podporováno, používejte identitu úloh a úzce vymezené dočasné přihlašovací údaje místo distribuce opakovaně použitelných statických hodnot.
Důležité omezeníSprávce tajných údajů se stává vysoce hodnotnou závislostí a nezabraňuje autorizované či kompromitované úloze secret přečíst. Politika přístupu, zabezpečení koncových zařízení, dostupnost a počáteční cesta důvěry stále záleží.