For nylig på Elastic-bloggen , hvori det rapporteres, at de vigtigste sikkerhedsfunktioner i Elasticsearch, der blev frigivet i open source for mere end et år siden, nu er gratis for brugerne.
I det officielle blogindlæg er de "rigtige" ord, at open source skal være gratis, og at projektets ejere bygger deres forretning på andre yderligere funktioner, der tilbydes til enterprise-løsninger. Nu er følgende sikkerhedsfunktioner, tidligere kun tilgængelige med en gold-abonnementsplan, inkluderet i de grundlæggende versioner 6.8.0 og 7.1.0:
- TLS til krypteret kommunikation.
- Fil- og native-realm til oprettelse og administration af brugerkonti.
- Brugeradgangsstyring til API og klynger baseret på roller; muligheden for flerskuseradgang til Kibana med Kibana Spaces er også tilladt.
Men overgangen af sikkerhedsfunktioner til det gratis område er ikke en generøs gestus, men et forsøg på at skabe afstand mellem det kommercielle produkt og dets store problemer.
Og det har det, og alvorlige.
Søgeterminen "Elastic Leaked" returnerer 13,3 millioner søgeresultater i Google. Imponerende, ikke? Efter at sikkerhedsfunktionerne blev frigivet i open source, som engang syntes at være en god idé, begyndte Elastic at få alvorlige datalækageproblemer. I realiteten blev basisversionen til en si, da ingen rigtig understøttede disse sikkerhedsfunktioner.
En af de mest opsigtsvækkende datalækager fra elastic-serveren var hændelsen med tabet af 57 millioner data om amerikanske borgere, om det i december 2018 (det viste sig senere, at der faktisk var lækket 82 millioner poster). Samtidig, i december 2018, blev data fra 32 millioner personer stjålet i Brasilien på grund af sikkerhedsproblemer med Elastic. I marts 2019 blev der lækket "kun" 250.000 fortrolige dokumenter fra en anden elastic-server, herunder juridiske dokumenter. Og det er kun den første side af søgeresultaterne for den nævnte søgning.
Faktisk fortsætter hackene stadig og begyndte kort efter, at sikkerhedsfunktionerne blev "afskrevet" af udviklerne selv og flyttet til open source.
Læseren bemærker måske: "Nå, hvad så? De har sikkerhedsproblemer, men hvem har ikke?"
Og nu, vær opmærksom.
Spørgsmålet er, at indtil denne mandag tog Elastic med god samvittighed penge fra kunderne for et hul i jorden kaldet sikkerhedsfunktioner, som de selv gjorde open source tilbage i februar 2018, altså for omkring 15 måneder siden. Uden at påtage sig nogen væsentlige omkostninger til vedligeholdelse af disse funktioner, tog virksomheden regelmæssigt penge fra gold- og premium-abonnenter inden for enterprise-segmentet.
På et tidspunkt blev sikkerhedsproblemerne så giftige for virksomheden, og klagerne fra kunderne blev så truende, at grådighed kom i baggrunden. Men i stedet for at genoptage udviklingen og "lappe" hullerne i deres eget projekt, som førte til, at millioner af dokumenter og personlige data fra almindelige mennesker blev frigivet, smed Elastic sikkerhedsfunktionerne ud i den gratis version af elasticsearch. Og præsenterer dette som en stor fordel og støtte til open source.
I lyset af sådanne "effektive" løsninger virker den anden del af blogindlægget yderst mærkelig, som vi faktisk blev opmærksomme på denne historie. Det handler om — den officielle operator af Kubernetes til Elasticsearch og Kibana.
Udviklerne taler med et ganske alvorligt ansigt om, at på grund af flytningen af sikkerhedsfunktionerne til den grundlæggende gratis pakke af elasticsearch, vil belastningen på administratorerne af disse løsninger blive reduceret. Og generelt set, alt er perfekt.
"Vi kan garantere, at alle klynger, der kører og administreres af ECK, vil være beskyttet som standard fra start, uden ekstra belastning på administratorerne," hedder det i den officielle blog.
Hvordan et forladt og stort set uunderstøttet oprindeligt værktøj, der i det forgangne år er blevet til alles punching bag, vil sikre brugerne, undgår udviklerne at nævne.
Kilde: habr.com
