Elasticsearch tegi probleemsed turbefunktsioonid, mis varem olid avatud lähtekoodiga, tasuta.

Hiljuti ilmus Elastic'i blogis postitus, milles öeldakse, et Elasticsearch'i peamised turbeomadused, mis on avatud lähtekoodiga ruumi üle aasta tagasi välja toodud, on nüüd kasutajatele tasuta.

Ametlikus blogipostituses räägitakse "õigetest" sõnadest, et avatud lähtekood peab olema tasuta ja et projekti omanikud ehitavad oma äri muude lisafunktsioonide arvelt, mida nad pakuvad ettevõtte lahendustena. Nüüd on versioonide 6.8.0 ja 7.1.0 põhiversioonidesse lisatud järgmised turbefunktsioonid, mis varem olid saadaval ainult kuldse tellimuse alusel:

• TLS krüpteeritud sidete jaoks.
• Faili- ja native-realm kasutajarekordite loomiseks ja haldamiseks.
• Kasutajate pääsu haldamine API-le ja klastrile rollide alusel; lubatakse mitme kasutaja juurdepääs Kibana'le, kasutades Kibana Spaces'i.

Kuid turbefunktsioonide viimine tasuta sektsiooni ei ole lai žest, vaid katse luua kaugus kaubandusliku toote ja selle peamiste probleemide vahel.

Ja neid probleeme on tõeliselt palju.

Küsimus "Elastic Leaked" toob Google'is välja 13,3 miljonit otsingutulemust. Muljetavaldav, eks? Pärast projekti turvalisuse funktsioonide avalikustamist avatud lähtekoodiga, mis kunagi tundus hea mõttena, tekkis Elasticil tõsiseid andmeleke probleeme. Tegelikult on põhi versioon muutunud sõelaks, kuna keegi ei toetanud piisavalt neid samu turvafunktsioone.

Üks mõjuvamaid andmeleke juhtumeid elastic-serverist oli olukord, kus kaotati 57 miljoni Ameerika kodaniku andmed, millest kirjutati ajakirjanduses detsembris 2018 (hiljem selgus, et tegelikult lekkis 82 miljonit kirjet). Samal ajal, detsembris 2018, varastati Elasti turvaprobleemide tõttu Brasiilias 32 miljoni inimese andmed. Märtsis 2019 lekkis teiselt elastic-serverilt "vaid" 250 000 konfidentsiaalset dokumenti, sealhulgas juriidilisi dokumente. Ja see on vaid esimene leht otsingutulemustest meie mainitud päringu kohta.

Tegelikult jätkuvad häkkimised siiani ja algasid kohe pärast turvafunktsioonide eemaldamist arendajate poolt ning nende avatud lähtekoodi üleviimist.

Lugeja võib märkida: "Mis siis? Neil on turvaprobleeme, aga kellel ei ole?"

Ja nüüd tähelepanu.

Küsimus on selles, et kuni selle esmaspäevani võttis Elastic ausalt klientidelt raha turvafunktsioonide eest, mille nad ise avalikustasid 2018. aasta veebruaris, mis tähendab umbes 15 kuud tagasi. Ilma olulisemate kuludeta nende funktsioonide toetamiseks võttis ettevõte ikka veel raha kuld- ja premium-paremakudesti klientide ärisegmendist.

Mingi hetk muutusid turvaprobleemid ettevõtte jaoks nii toksiliseks ning klientide kaebused nii tõsisteks, et ahnus taandus tagaplaanile. Kuid selle asemel, et jätkata arendust ja "tikkida" oma projektis olevad augud, mille tõttu lekkis avalikkusele miljonite dokumentide ja tava inimeste isikuandmeid, paiskas Elastic turvafunktsioonid tasuta versiooni elasticsearch'i. Ja esitleb seda kui suurt headust ja toetust avatud koodile.

Selliste "efektiivsete" lahenduste valguses näeb teise osa blogipostitus, mille tõttu me tegelikult sellele loodusele tähelepanu juhtisime, äärmiselt imelik välja. Rääkime Elastic Cloud on Kubernetes (ECK) alfa versiooni väljaandmisest — ametlik Kubernetes'i operaator Elasticsearchi ja Kibana jaoks.

Arendajad, kellel on täiesti tõsine näoilme, räägivad, et elasticsearch security-funktsioonide viimine põhivaba komplekti vähendab nende lahenduste kasutajate administraatorite koormust. Üldiselt on kõik suurepärane.

„Saame kinnitada, et kõik ECK abil käivitatud ja hallatud klastrid on vaikimisi kaitstud alates käivitamisest, ilma administraatoritele lisakoormuseta,” on öeldud ametlikus blogis.

Kuidas lahendus, mis on jäetud ja korralikult enam ei toetata, ja mis viimase aasta jooksul on saanud kõigi peksmise eesmärgiks, kasutajaid turvaliselt tagab, arendajad vaikivad.

Allikas: habr.com