隆重推出Cloudflare Secrets Store

今天我們隆重推出Secrets Store——Cloudflare的全新機密管理產(chǎn)品。

顧名思義，secrets store（機密存儲庫）用于存儲機密（secret）。機密是開發(fā)人員使用的包含敏感信息的變量——只有授權(quán)用戶和系統(tǒng)才應該訪問這些信息。

如果您正在構(gòu)建一個應用程序，那么您將需要管理各種機密。每個系統(tǒng)都應該設(shè)計為擁有身份和驗證數(shù)據(jù)，用于核實某種形式的身份，以便授予對系統(tǒng)或應用程序的訪問權(quán)限。一個例子是API令牌，用于對數(shù)據(jù)庫進行讀寫請求。如果未能安全存儲這些令牌，則可能會導致對信息未經(jīng)授權(quán)的訪問——無論是有意或意外。

機密管理的潛在風險很高。存儲這些機密數(shù)據(jù)過程中的每一個漏洞都有可能導致數(shù)據(jù)泄露或破壞。這是安全管理員最糟糕的噩夢。

開發(fā)人員專注于創(chuàng)建應用程序，他們希望快速構(gòu)建，系統(tǒng)性能良好，并能夠擴展規(guī)模。對他們來說，機密管理是一個關(guān)乎易用性、性能和可靠性的問題。另一方面，安全管理員的任務(wù)是確保這些機密的安全。他們的責任是保護敏感信息，確保符合安全的策略制定和實施，并確保在發(fā)生如數(shù)據(jù)泄露或入侵等安全事件后可以快速加以控制、修補、及防范。他們的工作是核實公司的開發(fā)人員正在以安全、萬無一失的方式構(gòu)建應用程序。

為了使開發(fā)人員能夠高速構(gòu)建應用程序，讓安全管理員感到安心，公司需要采用高度可靠和安全的機密管理工具。這個系統(tǒng)應該確保敏感信息以最安全的措施存儲，同時保持易用性，讓工程團隊能夠高效構(gòu)建應用程序。

為什么Cloudflare要打造機密管理工具

Cloudflare的使命是幫助構(gòu)建更好的互聯(lián)網(wǎng)——這意味著更安全的互聯(lián)網(wǎng)。我們認識到，我們的客戶需要一個安全的、集中的存儲庫來存儲敏感數(shù)據(jù)。在Cloudflare生態(tài)系統(tǒng)中，客戶需要在各種位置存儲和訪問API和授權(quán)令牌、共享機密和敏感信息。我們的工作是讓客戶輕松安全地管理這些值。

有時機密管理的需求還超出Cloudflare的范圍?？蛻粼谒麄児芾淼拿恳粋€地方都擁有敏感數(shù)據(jù)——云提供商，自己的基礎(chǔ)設(shè)施，或各種機器上。我們的計劃是使我們的Secrets Store成為所有客戶存儲機密的一站式解決方案。

Cloudflare機密管理的演變歷程

2020年，我們推出用于Cloudflare Workers的環(huán)境變量和機密存儲庫，讓客戶能夠在其Worker腳本中創(chuàng)建和加密變量。通過這樣做，開發(fā)人員可以混淆變量的值，使其不再以明文形式提供，并且只能由Worker訪問。

這類機密管理方式的采用和使用正在迅速增長?，F(xiàn)在，我們有超過300萬個Worker腳本引用通過Cloudflare管理的變量和機密信息。我們不斷聽到的客戶反饋之一是這些機密管理的應用范圍過于局限。今天，客戶只能在關(guān)聯(lián)的Worker內(nèi)部使用一個變量或機密。然而，實際情況是-客戶需要在不同Workers之間共享多種機密及敏感數(shù)據(jù)集。他們不想重新創(chuàng)建那些機密，并耗費時間來維持它們的同步。他們希望在一個地方管理帳戶級機密，且同時可以在多個Worker腳本和函數(shù)中引用。

在Workers之外，Cloudflare服務(wù)中還有很多使用機密管理的用例。

在我們的Web應用程序防火墻（WAF）中，客戶，客戶可以制定規(guī)則來查找授權(quán)標頭，允許或拒絕請求的訪問。今天，當客戶創(chuàng)建這些規(guī)則時，他們將授權(quán)標頭值以明文形式放置，以便在Cloudflare帳戶中擁有WAF訪問權(quán)限的任何人都可以查看其值?？蛻艚o我們的反饋是，即使在內(nèi)部，工程師也不應該能夠訪問此類信息。相反，我們的客戶希望有一個地方來管理這個標頭或令牌的值，以便只有授權(quán)用戶可以查看、創(chuàng)建和輪換此值。然后，在創(chuàng)建WAF規(guī)則時，工程師只需引用關(guān)聯(lián)的機密，例如“account.mysecretauth”。通過這樣做，我們幫助客戶通過減少訪問范圍來保護其系統(tǒng)，并通過在一個地方保持更新來增強對此值的管理。

隨著Cloudflare新產(chǎn)品和功能的快速發(fā)展，我們聽到越來越多的聲音表示需要一個集中式機密管理器的用例。這個管理器可用于存儲Access Service令牌或Webhooks的共享機密。

通過全新的帳戶級Secrets Store，我們很高興能夠為客戶提供跨Cloudflare服務(wù)管理機密的工具。

保護機密存儲庫

要擁有一個機密存儲庫，需要采取一系列措施，我們致力于為客戶提供這些措施。

首先，我們將為客戶提供用于限制機密訪問的工具。我們將提供范圍權(quán)限，允許管理員選擇哪些用戶可以查看、創(chuàng)建、編輯或刪除機密。我們還計劃在我們的服務(wù)中添加相同級別的精細化控制，以使客戶可以進行更細顆粒度的管理-例如“只允許此Worker訪問此機密，只允許此防火墻規(guī)則集訪問那個機密”。

接下來，我們將為客戶提供廣泛的審計功能，能夠跟蹤機密的訪問和使用情況。審計日志對于安全管理員非常重要。在一個機密被未授權(quán)服務(wù)使用時，或一個遭到泄露的機密在其不應該使用的時候被使用時，審計日志可以向團隊成員發(fā)出警報。我們將向客戶提供每個機密相關(guān)事件的審計日志，以便客戶可以準確了解是誰在更改機密，以及哪些服務(wù)正在訪問它們和何時訪問。

除了Secrets Store的內(nèi)置安全性之外，我們還將為客戶提供工具，以便他們按需或以適合其正確安全態(tài)勢的節(jié)奏輪換其加密密鑰。

注冊測試版

我們非常希望能將Secrets Store交到客戶手上。