Elasticsearch muutis probleemsed turvafunktsioonid, mis varem olid avatud lähtekoodiga, tasuta

Hiljuti Elasticu blogis ilmus postitus, milles teatatakse, et Elasticsearchi peamised turbefunktsioonid, mis viidi avatud lähtekoodiga ruumi üle aasta tagasi, on nüüd tasuta kasutajatele saadaval.

Ametlikus blogipostituses on «õigeid» sõnu selle kohta, et avatud lähtekood peab olema tasuta ja et projekti omanikud ehitavad oma äri muude täiendavate funktsioonide peale, mida nad pakuvad ettevõtte lahendustes. Nüüd on versiooni 6.8.0 ja 7.1.0 põhiversioonidesse lisatud järgmised turbefunktsioonid, mis varem olid saadaval ainult kuldses tellimuses:

• TLS krüpteeritud side jaoks.
• Fail ja kohalik ala kasutajakontode loomise ja haldamise jaoks.
• Kasutajate juurdepääsu haldamine API-le ja klastri, mis põhineb rollidel; mitme kasutaja juurdepääs Kibana'sse Kibana Spacesi kaudu on lubatud.

Kuid turbefunktsioonide viimine tasuta sektsiooni ei ole lai žest, vaid katse luua kaugus kommertstoote ja selle tõsiste probleemide vahel.

Ja need probleemid on tõsised.

Küsimus «Elastic Leaked» tagastab Googles 13,3 miljonit otsingutulemust. Muljetavaldav, eks? Pärast turbefunktsioonide viimist projekti avatud lähtekoodi, mis kunagi näis hea idee, tekkis Elasticul tõsiseid andmelekkimise probleeme. Tegelikult muutus põhiversioon läbi lastavaks, kuna keegi ei toetanud neid turbefunktsioone korralikult.

Üks kõige tähelepanuväärsemaid andmelekkimise juhtumeid elastic-serverilt oli 57 miljoni USA kodaniku andmete kadumine, millest kandsid meedia teavet 2018. aasta detsembris (hiljem selgus, et tegelikult lekkis 82 miljonit kirjet). Samuti, 2018. aasta detsembris varastasid Elasti turvap probleemide tõttu Brasiilias 32 miljoni inimese andmed. 2019. aasta märtsis lekkis teiselt elastic-serverilt «ainult» 250 000 konfidentsiaalset dokumenti, sealhulgas ka juriidilisi dokumente. Ja see on alles esimene otsingulehe tulemus selle termini järgi.

Tegelikult jätkuvad sissetungid siiani ja algasid peagi pärast turbefunktsioonide «rahuldamisest vabastamist» arendajate poolt ja nende viimist avatud lähtekoodi.

Lugeja võib märkida: «No ja mis siis? No ei ole neil turvaprobleeme, aga kellel ei ole?»

Ja nüüd tähelepanu.

Küsimus on selles, et kuni käesoleva esmaspäevani võttis Elastic oma klientidelt raha riistvara eest, mida nad nimetasid turvafunktsioonideks, kuigi nad olid need juba 2018. aasta veebruaris avatud lähtekoodiga välja toonud, st umbes 15 kuud tagasi. Ettevõte ei kandnud nende funktsioonide toe eest mingeid märkimisväärseid kulutusi, kuid siiski küsis raha kuld- ja premium-liikmetelt oma ettevõtlussektoris.

Mõnes punktis muutusid turvaprobleemid ettevõtte jaoks nii toksilisteks ning klientide kaebused nii ähvardavateks, et ahnus jäi teisele kohale. Kuid, selle asemel, et taastada arendus ja „fikseerida“ augud oma projektis, mille tõttu pääsesid miljonid dokumendid ja isikuandmed avalikuks, viskas Elastic turvafunktsioonid tasuta elasticsearchi versiooni. Nad esitavad selle kui suurt headust ja panust avatud lähtekoodiga.

Kuna sellised „efektiivsed“ lahendused paistavad, on blogipostituse teine osa, mille tõttu me seda lugu jälgisime, üsna kummaline. Räägime Elastic Cloud on Kubernetes (ECK) alfa- versiooni väljaandmisest — Elasticsearchi ja Kibana ametlik Kubernetes'i operaator.

Arendajad, näo tõsise ilmega, räägivad, et turvafunktsioonide viimisega tasuta versioonidesse väheneb haldurite koormus nende lahenduste kasutajate jaoks. Ja üldiselt, kõik on suurepärane.

„Me saame garanteerida, et kõik ECK-s käivitatud ja hallatavad klastrid on vaikimisi kaitstud alates käivitamisest, ilma halduritele lisakoormuseta,“ öeldakse ametlikus blogis.

Kuidas juhuslik ja tõeliselt mitte toetatud lahendus, mis viimase aasta jooksul on muutunud üldiseks sihtmärgiks, tagab kasutajatele turvalisuse, arendajad ei ütle.

Allikas: habr.com