隆重推出Cloudflare Secrets Store

今天我們隆重推出Secrets Store——Cloudflare的全新機(jī)密管理產(chǎn)品。

顧名思義，secrets store（機(jī)密存儲(chǔ)庫(kù)）用于存儲(chǔ)機(jī)密（secret）。機(jī)密是開發(fā)人員使用的包含敏感信息的變量——只有授權(quán)用戶和系統(tǒng)才應(yīng)該訪問(wèn)這些信息。

如果您正在構(gòu)建一個(gè)應(yīng)用程序，那么您將需要管理各種機(jī)密。每個(gè)系統(tǒng)都應(yīng)該設(shè)計(jì)為擁有身份和驗(yàn)證數(shù)據(jù)，用于核實(shí)某種形式的身份，以便授予對(duì)系統(tǒng)或應(yīng)用程序的訪問(wèn)權(quán)限。一個(gè)例子是API令牌，用于對(duì)數(shù)據(jù)庫(kù)進(jìn)行讀寫請(qǐng)求。如果未能安全存儲(chǔ)這些令牌，則可能會(huì)導(dǎo)致對(duì)信息未經(jīng)授權(quán)的訪問(wèn)——無(wú)論是有意或意外。

機(jī)密管理的潛在風(fēng)險(xiǎn)很高。存儲(chǔ)這些機(jī)密數(shù)據(jù)過(guò)程中的每一個(gè)漏洞都有可能導(dǎo)致數(shù)據(jù)泄露或破壞。這是安全管理員最糟糕的噩夢(mèng)。

開發(fā)人員專注于創(chuàng)建應(yīng)用程序，他們希望快速構(gòu)建，系統(tǒng)性能良好，并能夠擴(kuò)展規(guī)模。對(duì)他們來(lái)說(shuō)，機(jī)密管理是一個(gè)關(guān)乎易用性、性能和可靠性的問(wèn)題。另一方面，安全管理員的任務(wù)是確保這些機(jī)密的安全。他們的責(zé)任是保護(hù)敏感信息，確保符合安全的策略制定和實(shí)施，并確保在發(fā)生如數(shù)據(jù)泄露或入侵等安全事件后可以快速加以控制、修補(bǔ)、及防范。他們的工作是核實(shí)公司的開發(fā)人員正在以安全、萬(wàn)無(wú)一失的方式構(gòu)建應(yīng)用程序。

為了使開發(fā)人員能夠高速構(gòu)建應(yīng)用程序，讓安全管理員感到安心，公司需要采用高度可靠和安全的機(jī)密管理工具。這個(gè)系統(tǒng)應(yīng)該確保敏感信息以最安全的措施存儲(chǔ)，同時(shí)保持易用性，讓工程團(tuán)隊(duì)能夠高效構(gòu)建應(yīng)用程序。

為什么Cloudflare要打造機(jī)密管理工具

Cloudflare的使命是幫助構(gòu)建更好的互聯(lián)網(wǎng)——這意味著更安全的互聯(lián)網(wǎng)。我們認(rèn)識(shí)到，我們的客戶需要一個(gè)安全的、集中的存儲(chǔ)庫(kù)來(lái)存儲(chǔ)敏感數(shù)據(jù)。在Cloudflare生態(tài)系統(tǒng)中，客戶需要在各種位置存儲(chǔ)和訪問(wèn)API和授權(quán)令牌、共享機(jī)密和敏感信息。我們的工作是讓客戶輕松安全地管理這些值。

有時(shí)機(jī)密管理的需求還超出Cloudflare的范圍。客戶在他們管理的每一個(gè)地方都擁有敏感數(shù)據(jù)——云提供商，自己的基礎(chǔ)設(shè)施，或各種機(jī)器上。我們的計(jì)劃是使我們的Secrets Store成為所有客戶存儲(chǔ)機(jī)密的一站式解決方案。

Cloudflare機(jī)密管理的演變歷程

2020年，我們推出用于Cloudflare Workers的環(huán)境變量和機(jī)密存儲(chǔ)庫(kù)，讓客戶能夠在其Worker腳本中創(chuàng)建和加密變量。通過(guò)這樣做，開發(fā)人員可以混淆變量的值，使其不再以明文形式提供，并且只能由Worker訪問(wèn)。

這類機(jī)密管理方式的采用和使用正在迅速增長(zhǎng)?，F(xiàn)在，我們有超過(guò)300萬(wàn)個(gè)Worker腳本引用通過(guò)Cloudflare管理的變量和機(jī)密信息。我們不斷聽到的客戶反饋之一是這些機(jī)密管理的應(yīng)用范圍過(guò)于局限。今天，客戶只能在關(guān)聯(lián)的Worker內(nèi)部使用一個(gè)變量或機(jī)密。然而，實(shí)際情況是-客戶需要在不同Workers之間共享多種機(jī)密及敏感數(shù)據(jù)集。他們不想重新創(chuàng)建那些機(jī)密，并耗費(fèi)時(shí)間來(lái)維持它們的同步。他們希望在一個(gè)地方管理帳戶級(jí)機(jī)密，且同時(shí)可以在多個(gè)Worker腳本和函數(shù)中引用。

在Workers之外，Cloudflare服務(wù)中還有很多使用機(jī)密管理的用例。

在我們的Web應(yīng)用程序防火墻（WAF）中，客戶，客戶可以制定規(guī)則來(lái)查找授權(quán)標(biāo)頭，允許或拒絕請(qǐng)求的訪問(wèn)。今天，當(dāng)客戶創(chuàng)建這些規(guī)則時(shí)，他們將授權(quán)標(biāo)頭值以明文形式放置，以便在Cloudflare帳戶中擁有WAF訪問(wèn)權(quán)限的任何人都可以查看其值?？蛻艚o我們的反饋是，即使在內(nèi)部，工程師也不應(yīng)該能夠訪問(wèn)此類信息。相反，我們的客戶希望有一個(gè)地方來(lái)管理這個(gè)標(biāo)頭或令牌的值，以便只有授權(quán)用戶可以查看、創(chuàng)建和輪換此值。然后，在創(chuàng)建WAF規(guī)則時(shí)，工程師只需引用關(guān)聯(lián)的機(jī)密，例如“account.mysecretauth”。通過(guò)這樣做，我們幫助客戶通過(guò)減少訪問(wèn)范圍來(lái)保護(hù)其系統(tǒng)，并通過(guò)在一個(gè)地方保持更新來(lái)增強(qiáng)對(duì)此值的管理。

隨著Cloudflare新產(chǎn)品和功能的快速發(fā)展，我們聽到越來(lái)越多的聲音表示需要一個(gè)集中式機(jī)密管理器的用例。這個(gè)管理器可用于存儲(chǔ)Access Service令牌或Webhooks的共享機(jī)密。

通過(guò)全新的帳戶級(jí)Secrets Store，我們很高興能夠?yàn)榭蛻籼峁┛鏑loudflare服務(wù)管理機(jī)密的工具。

保護(hù)機(jī)密存儲(chǔ)庫(kù)

要擁有一個(gè)機(jī)密存儲(chǔ)庫(kù)，需要采取一系列措施，我們致力于為客戶提供這些措施。

首先，我們將為客戶提供用于限制機(jī)密訪問(wèn)的工具。我們將提供范圍權(quán)限，允許管理員選擇哪些用戶可以查看、創(chuàng)建、編輯或刪除機(jī)密。我們還計(jì)劃在我們的服務(wù)中添加相同級(jí)別的精細(xì)化控制，以使客戶可以進(jìn)行更細(xì)顆粒度的管理-例如“只允許此Worker訪問(wèn)此機(jī)密，只允許此防火墻規(guī)則集訪問(wèn)那個(gè)機(jī)密”。

接下來(lái)，我們將為客戶提供廣泛的審計(jì)功能，能夠跟蹤機(jī)密的訪問(wèn)和使用情況。審計(jì)日志對(duì)于安全管理員非常重要。在一個(gè)機(jī)密被未授權(quán)服務(wù)使用時(shí)，或一個(gè)遭到泄露的機(jī)密在其不應(yīng)該使用的時(shí)候被使用時(shí)，審計(jì)日志可以向團(tuán)隊(duì)成員發(fā)出警報(bào)。我們將向客戶提供每個(gè)機(jī)密相關(guān)事件的審計(jì)日志，以便客戶可以準(zhǔn)確了解是誰(shuí)在更改機(jī)密，以及哪些服務(wù)正在訪問(wèn)它們和何時(shí)訪問(wèn)。

除了Secrets Store的內(nèi)置安全性之外，我們還將為客戶提供工具，以便他們按需或以適合其正確安全態(tài)勢(shì)的節(jié)奏輪換其加密密鑰。

注冊(cè)測(cè)試版

我們非常希望能將Secrets Store交到客戶手上。