Sejf haseł (password vault)

Co to jest sejf haseł?

Sejf haseł (ang. password vault) to centralny, szyfrowany magazyn poświadczeń uprzywilejowanych: haseł administratorów i kont root, haseł kont serwisowych, kluczy SSH, certyfikatów i kluczy API. W przeciwieństwie do zwykłego repozytorium sejf nie tylko przechowuje sekrety, lecz także decyduje, kto może ich użyć, na jakich warunkach i na jak długo — oraz zapisuje każde pobranie.

W wielu organizacjach hasła do kluczowych systemów wciąż żyją w arkuszach, notatkach, skryptach i pamięci kilku osób. Nie zmienia się ich latami, bo nikt nie wie, co przestanie działać. Sejf haseł porządkuje ten obszar i jest jednym z filarów Privileged Access Management (PAM).

Definicja sejfu haseł

Sejf haseł to komponent systemu PAM, który przechowuje poświadczenia uprzywilejowane w postaci zaszyfrowanej, udostępnia je zgodnie z polityką dostępu, automatycznie je zmienia i prowadzi pełny dziennik operacji. Celem jest sytuacja, w której żadne poświadczenie uprzywilejowane nie jest znane na stałe żadnej osobie, a każde jego użycie da się przypisać konkretnemu człowiekowi i konkretnemu zadaniu.

Jak działa sejf haseł

Centralne, szyfrowane przechowywanie

Sekrety trafiają do jednego miejsca, zaszyfrowane i uporządkowane w zbiory odpowiadające systemom, zespołom czy klientom. Uprawnienia do zbiorów nadaje się rolom, a nie pojedynczym osobom, co ułatwia utrzymanie zasady najmniejszych uprawnień.

Wypożyczanie (check-out) i zwrot

Administrator, który potrzebuje hasła, wypożycza je z sejfu: podaje powód, a polityka może wymagać akceptacji przełożonego lub zespołu bezpieczeństwa. Wypożyczenie bywa wyłączne (w danym czasie z sekretu korzysta jedna osoba) i ograniczone w czasie. Po zakończeniu pracy hasło wraca do sejfu, a każde pobranie i zwrot trafiają do dziennika.

Rotacja sekretów

Rotacja to automatyczna zmiana poświadczenia na systemie docelowym i zapisanie nowej wartości w sejfie. Sejf łączy się z serwerem, bazą danych czy urządzeniem sieciowym i zmienia hasło lub klucz:

• według harmonogramu (np. co określony czas),
• po każdym wypożyczeniu, aby hasło znane administratorowi przestało działać,
• po zdarzeniu, np. odejściu pracownika lub podejrzeniu wycieku.

Wstrzykiwanie poświadczeń

Najwyższy poziom ochrony daje sytuacja, w której użytkownik w ogóle nie poznaje hasła. Bramka PAM uwierzytelnia go własnym kontem i wstrzykuje poświadczenie z sejfu bezpośrednio do sesji z systemem docelowym. Hasła nie da się wtedy zapisać, przekazać dalej ani użyć poza kontrolowanym połączeniem.

Wykrywanie haseł skompromitowanych

Część systemów porównuje przechowywane hasła z listami haseł, które wyciekły w znanych naruszeniach, i oznacza te do natychmiastowej zmiany.

Sejf haseł a menedżer haseł

Oba narzędzia przechowują hasła w postaci zaszyfrowanej, ale służą innym celom:

• Menedżer haseł pomaga pojedynczemu użytkownikowi zarządzać jego własnymi hasłami do aplikacji i stron. Odpowiada za wygodę i unikanie powtarzania haseł.
• Sejf haseł w PAM chroni poświadczenia wspólne i uprzywilejowane, należące do organizacji. Wymusza zasady dostępu, akceptacje i dostęp czasowy, rotuje hasła na systemach docelowych, zapisuje każde użycie na potrzeby audytu i potrafi ukryć hasło przed użytkownikiem.

Menedżer haseł nie zastąpi sejfu dla kont administracyjnych, a sejf nie jest narzędziem do codziennych haseł pracowników.

Zastosowania

• Hasła kont administracyjnych serwerów, kontrolerów domeny, hiperwizorów i urządzeń sieciowych.
• Konta serwisowe i aplikacyjne — hasła zapisane dotąd w plikach konfiguracyjnych i skryptach.
• Klucze SSH — kontrola nad tym, kto ma klucz do którego serwera, i ich regularna wymiana.
• Dostęp dostawców — serwisant dostaje dostęp na czas zlecenia, a po jego zakończeniu hasło jest zmieniane.
• Konta awaryjne („break glass”) — hasło zapieczętowane w sejfie, którego pobranie uruchamia alarm i przegląd.

Jak to wygląda w praktyce — przykład Fudo Enterprise

W Fudo Enterprise rolę sejfu pełni moduł Password Vault: zapewnia zaszyfrowane przechowywanie, zarządzanie cyklem życia, kontrolowany dostęp i pełną rozliczalność poświadczeń, w tym haseł, kluczy SSH, certyfikatów X.509 i kluczy API. Operacje na sekretach, takie jak podgląd, pobranie i zwrot, są śledzone w dzienniku sejfu. Za rotację odpowiadają mechanizmy Secret Changer, które zmieniają sekrety przez SSH, LDAP, Telnet lub WinRM, z gotowymi szablonami m.in. dla systemów Unix, MySQL, Cisco i MS Windows oraz możliwością własnych skryptów. Producent opisuje, że sejf automatycznie rotuje hasła i klucze SSH i wstrzykuje je do sesji bez ujawniania ich użytkownikom. Po wgraniu listy haseł skompromitowanych (jawnych albo skrótów SHA-1) Password Vault skanuje względem niej wszystkie przechowywane hasła.

Korzyści

• Koniec haseł znanych na stałe — po rotacji hasło, które ktoś zapamiętał lub zapisał, przestaje działać.
• Rozliczalność — każde pobranie ma autora, czas i powód, co ułatwia audyt i analizę incydentu.
• Mniejsze skutki wycieku — skradzione poświadczenie ma krótki czas życia.
• Sprawne odejścia i zmiany ról — odebranie dostępu nie wymaga ręcznej zmiany dziesiątek haseł.
• Porządek — organizacja wie, jakie konta uprzywilejowane istnieją i kto może z nich korzystać.

Ograniczenia i wyzwania

• Inwentaryzacja — sejf chroni tylko te konta, o których wiadomo. Pierwszym etapem wdrożenia jest zwykle wykrycie kont uprzywilejowanych rozproszonych po systemach.
• Zależności aplikacji — rotacja hasła konta serwisowego może zatrzymać aplikację, która ma je zapisane na sztywno. Trzeba zmapować zależności, zanim włączy się automatyczną zmianę.
• Sejf jako cel ataku — centralny magazyn wymaga silnego uwierzytelniania wieloskładnikowego, kopii zapasowych, wysokiej dostępności i procedury awaryjnej na wypadek niedostępności.
• Hasło to nie wszystko — sejf nie pokazuje, co zrobiono po zalogowaniu. Tę lukę wypełnia nagrywanie sesji uprzywilejowanych.

Podsumowanie

Sejf haseł zamienia rozproszone, rzadko zmieniane hasła uprzywilejowane w sekrety przechowywane centralnie, wydawane na czas zadania, automatycznie rotowane i zapisywane w dzienniku. Największą wartość daje w połączeniu z bramką, która wstrzykuje poświadczenia do sesji, oraz z nagrywaniem tego, co dzieje się po zalogowaniu.

Powiązane terminy

• Privileged Access Management - zarządzanie dostępem uprzywilejowanym
• Dostęp uprzywilejowany - poziom dostępu do operacji administracyjnych
• Nagrywanie sesji uprzywilejowanych - zapis pracy na kontach administracyjnych
• Least Privilege - zasada najmniejszych uprawnień
• Just-in-Time Access - dostęp czasowy na żądanie

Sprawdź nasze usługi

Chcesz uporządkować hasła kont uprzywilejowanych i włączyć ich rotację? Sprawdź:

• Wdrożenie PAM - projekt, wdrożenie i utrzymanie kontroli dostępu uprzywilejowanego