Elasticsearch hat problematische Sicherheitsfunktionen, die zuvor in Open Source ausgegeben wurden, kostenlos gemacht.

Neulich erschien im Elastic-Blog ein Beitrag,in dem berichtet wird, dass die wichtigsten Sicherheitsfunktionen von Elasticsearch, die vor mehr als einem Jahr in den Open-Source-Bereich überführt wurden, jetzt kostenlos für die Benutzer verfügbar sind.

Im offiziellen Blogbeitrag finden sich die "richtigen" Worte, dass Open Source kostenlos sein sollte und dass die Projektinhaber ihr Geschäft auf anderen zusätzlichen Funktionen aufbauen, die sie für Enterprise-Lösungen anbieten. Jetzt sind in den Basisversionen 6.8.0 und 7.1.0 folgende Sicherheitsfunktionen enthalten, die zuvor nur im Gold-Abonnement verfügbar waren:

• TLS für verschlüsselte Kommunikation.
• Datei- und native Realm für die Erstellung und Verwaltung von Benutzerkonten.
• Benutzerzugriffsverwaltung auf API und Cluster basierend auf Rollen; Mehrbenutzerzugriff auf Kibana mit Verwendung von Kibana Spaces ist erlaubt.

Die Übertragung von Sicherheitsfunktionen in den kostenlosen Bereich ist jedoch kein großer Akt, sondern ein Versuch, eine Distanz zwischen dem kommerziellen Produkt und seinen Hauptproblemen zu schaffen.

Und die hat es, und zwar ernste.

Die Anfrage "Elastic Leaked" bringt bei Google 13,3 Millionen Suchergebnisse. Beeindruckend, nicht wahr? Nach der Überführung der Sicherheitsfunktionen des Projekts in den Open Source, was einst eine gute Idee schien, hatte Elastic ernsthafte Probleme mit Datenlecks. Tatsächlich hat sich die Basisversion wie ein Schweizer Käse entwickelt, da niemand die besagten Sicherheitsfunktionen wirklich unterstützte.

Eines der bekanntesten Datenlecks von Elastic-Servern war der Fall des Verlusts von 57 Millionen Daten von US-Bürgern, über den in den Medien berichtet wurde im Dezember 2018 (später stellte sich heraus, dass tatsächlich 82 Millionen Datensätze geleakt wurden). Ebenfalls im Dezember 2018 wurden aufgrund von Sicherheitsproblemen in Brasilien Daten von 32 Millionen Menschen gestohlen. Im März 2019 wurde von einem anderen Elastic-Server "nur" 250.000 vertrauliche Dokumente, darunter auch rechtlicher Natur, geleakt. Und das ist nur die erste Seite der Suche nach dem genannten Begriff.

Tatsächlich gehen die Angriffe bis heute weiter und begannen kurz nach der Deaktivierung der Sicherheitsfunktionen durch die Entwickler und deren Übertragung in den Open Source.

Der Leser könnte bemerken: "Nun und? Sie haben Sicherheitsprobleme, aber wer hat die nicht?"

Und jetzt die Aufmerksamkeit.

Die Frage ist, dass bis zu diesem Montag Elastic mit reinem Gewissen von Kunden Geld für ein Sieb namens Sicherheitsfunktionen verlangt hat, die sie selbst bereits im Februar 2018 als Open Source veröffentlicht hat, also vor etwa 15 Monaten. Ohne nennenswerte Kosten für die Unterstützung dieser Funktionen hat das Unternehmen zuverlässig Geld von Gold- und Premium-Abonnenten aus dem Enterprise-Segment genommen.

Irgendwann wurden die Sicherheitsprobleme für das Unternehmen so toxisch und die Beschwerden der Kunden so bedrohend, dass die Gier in den Hintergrund trat. Statt jedoch die Entwicklung wieder aufzunehmen und die Löcher im eigenen Projekt zu stopfen, wegen derer Millionen Dokumente und persönliche Daten gewöhnlicher Menschen in die Öffentlichkeit gelangten, hat Elastic die Sicherheitsfunktionen in die kostenlose Version von Elasticsearch abgeschoben. Und präsentiert dies als großes Wohl und Unterstützung für die Open-Source-Bewegung.

Im Licht solcher "effektiven" Lösungen erscheint der zweite Teil des Blogbeitrags, der uns eigentlich auf diese Geschichte aufmerksam gemacht hat, äußerst merkwürdig. Es geht darum die Alpha-Version von Elastic Cloud on Kubernetes (ECK) — dem offiziellen Operator für Kubernetes für Elasticsearch und Kibana.

Die Entwickler erklären mit durchaus ernster Miene, dass die Auslagerung der Sicherheitsfunktionen in das grundlegende kostenlose Angebot von Elasticsearch die Belastung für die Administratoren der Nutzer dieser Lösungen verringern wird. Und überhaupt, alles ist großartig.

„Wir können garantieren, dass alle Cluster, die von ECK gestartet und verwaltet werden, standardmäßig ab dem Start geschützt sind, ohne zusätzliche Belastung für die Administratoren“, steht im offiziellen Blog.

Wie ein verworfenes und von den ursprünglichen Entwicklern kaum unterstütztes Produkt, das im letzten Jahr zum allgemeinen Prügelknaben geworden ist, Sicherheit für die Nutzer bieten soll, verschweigen die Entwickler.

Quelle: habr.com