Nedávno se na blogu Elastic , ve kterém se uvádí, že hlavní bezpečnostní funkce Elasticsearch, uvedené do open source před více než rokem, jsou nyní zdarma pro uživatele.
V oficiálním blogovém příspěvku jsou obsažena "správná" slova o tom, že open source by měl být zdarma a že majitelé projektu budují svůj byznys na dalších doplňkových funkcích, které nabízejí pro podniková řešení. Nyní byly do základních verzí 6.8.0 a 7.1.0 zahrnuty následující bezpečnostní funkce, které byly dříve dostupné pouze na základě zlatého předplatného:
- TLS pro šifrovanou komunikaci.
- Soubor a nativní realm pro vytváření a správu uživatelských účtů.
- Správa přístupu uživatelů k API a clusteru na základě rolí; je povolen víceuživatelský přístup k Kibana pomocí Kibana Spaces.
Avšak převedení bezpečnostních funkcí do bezplatné sekce není výrazem velkorysosti, ale snahou vytvořit vzdálenost mezi komerčním produktem a jeho hlavními slabinami.
A tyto slabiny má, a to vážné.
Dotaz "Elastic Leaked" vrací v Googlu 13,3 milionu výsledků hledání. Imponující, že? Po vydání bezpečnostních funkcí projektu v open source, což se kdysi jevilo jako dobrý nápad, začal Elastic mít vážné problémy s úniky dat. V zásadě se základní verze proměnila v síto, protože nikdo příliš tyto bezpečnostní funkce nepodporoval.
Jedním z největších úniků dat z elastic serveru byla ztráta 57 milionů dat občanů USA, o čemž v prosinci 2018 (poté se ukázalo, že ve skutečnosti uniklo 82 milionů záznamů). Tehdy, v prosinci 2018, byly kvůli problémům s bezpečností ukradnuty z Elastic v Brazílii údaje 32 milionů lidí. V březnu 2019 z jiného elastic serveru uniklo "jen" 250 000 důvěrných dokumentů, včetně těch právních. A to je jen první stránka hledání podle zmíněného dotazu.
V podstatě se útoky stále dějí a začaly brzy poté, co byly "vyřazeny z provozu" bezpečnostní funkce samotnými vývojáři a převedeny do otevřeného zdrojového kódu.
Čtenář může poznamenat: "No a co? No, mají problémy s bezpečností, ale kdo je nemá?"
A teď pozor.
Otázka je, že do tohoto pondělí si Elastic s čistým svědomím brala od klientů peníze za síto zvané funkce zabezpečení, které sama uvedla jako open source již v únoru 2018, tedy přibližně před 15 měsíci. Nepřinášejíc žádné podstatné náklady na podporu těchto funkcí, společnost pravidelně vyžadovala platby od zlatých a prémiových předplatitelů z klientského segmentu enterprise.
V určitém okamžiku se problémy se zabezpečením staly pro společnost natolik toxickými, a požadovaní zákazníky natolik znepokojivými, že chamtivost ustoupila do pozadí. Místo toho, aby obnovili vývoj a "zavřeli" díry ve svém vlastním projektu, kvůli nimž se do veřejného prostoru dostaly miliony dokumentů a osobních údajů obyčejných lidí, Elastic vyhodila funkce zabezpečení do bezplatné verze elasticsearch. A prezentuje to jako velké dobro a příspěvek k věci open source.
Vzhledem k takovým "efektivním" řešením vypadá druhá část blogového příspěvku velmi podivně, kvůli které jsme si tuto historii vlastně všimli. Hovoříme o — oficiálního operátora Kubernetes pro Elasticsearch a Kibana.
Vývojáři s poměrně vážným výrazem tváře říkají, že kvůli návrhu funkcí zabezpečení do základní bezplatné výbavy elasticsearch se zátěž na administrátory těchto řešení sníží. A vůbec, všechno je skvělé.
"Můžeme zaručit, že všechny clustery spuštěné a spravované ECK budou chráněny ve výchozím nastavení od okamžiku spuštění, bez dodatečné zátěže na administrátory," uvádí se v oficiálním blogu.
Jak opuštěné a skutečně nepodporované původními vývojáři řešení, které se během posledního roku stalo univerzálním terčem kritiky, zajistí uživatelům bezpečnost, vývojáři mlčí.
Zdroj: habr.com
