Elasticsearch-მა შექმნა პრობლემური უსაფრთხოების ფუნქციები, რომლებიც ადრე იყო გამოშვებული ღია წყაროზე უფასოდ

ცოტა ხნის წინ Elastic ბლოგზე იყო პოსტი, რომელიც იტყობინება, რომ Elasticsearch-ის ძირითადი უსაფრთხოების ფუნქციები, რომლებიც გამოქვეყნდა ღია კოდის სივრცეში ერთ წელზე მეტი ხნის წინ, ახლა უფასოა მომხმარებლებისთვის.

ოფიციალური ბლოგის პოსტი შეიცავს „სწორ“ სიტყვებს, რომ ღია წყარო უნდა იყოს უფასო და რომ პროექტის მფლობელები თავიანთ ბიზნესს აშენებენ სხვა დამატებით ფუნქციებზე, რომლებსაც სთავაზობენ საწარმოს გადაწყვეტილებებს. ახლა 6.8.0 და 7.1.0 ვერსიების საბაზო ნაგებობები მოიცავს უსაფრთხოების შემდეგ ფუნქციებს, რომლებიც ადრე მხოლოდ ოქროს გამოწერით იყო ხელმისაწვდომი:

• TLS დაშიფრული კომუნიკაციისთვის.
• ფაილი და მშობლიური სფერო მომხმარებლის ჩანაწერების შესაქმნელად და მართვისთვის.
• მომხმარებლის წვდომის მართვა API-ზე და როლებზე დაფუძნებულ კლასტერზე; Kibana-ზე მრავალ მომხმარებლის წვდომა დაშვებულია Kibana Spaces-ის გამოყენებით.

თუმცა, უსაფრთხოების ფუნქციების თავისუფალ განყოფილებაში გადატანა არ არის ფართო ჟესტი, არამედ მცდელობა შეიქმნას დისტანცია კომერციულ პროდუქტსა და მის მთავარ პრობლემებს შორის.

და მას აქვს რამდენიმე სერიოზული.

შეკითხვა „Elastic Leaked“ აბრუნებს 13,3 მილიონ ძიების შედეგს Google-ში. შთამბეჭდავია, არა? პროექტის უსაფრთხოების ფუნქციების ღია წყაროზე გამოშვების შემდეგ, რაც ოდესღაც კარგი იდეა ჩანდა, Elastic-მა დაიწყო სერიოზული პრობლემები მონაცემთა გაჟონვასთან დაკავშირებით. სინამდვილეში, ძირითადი ვერსია გადაიქცა საცერად, რადგან არავინ უჭერდა მხარს ამ იგივე უსაფრთხოების ფუნქციებს.

ელასტიური სერვერიდან მონაცემთა ერთ-ერთი ყველაზე ცნობილი გაჟონვა იყო აშშ-ს მოქალაქეების 57 მილიონი მონაცემების დაკარგვა, რის შესახებაც წერდა პრესაში 2018 წლის დეკემბერში (მოგვიანებით გაირკვა, რომ რეალურად გაჟონა 82 მილიონი ჩანაწერი). შემდეგ, 2018 წლის დეკემბერში, ბრაზილიაში Elastic-თან უსაფრთხოების პრობლემების გამო, 32 მილიონი ადამიანის მონაცემები მოიპარეს. 2019 წლის მარტში სხვა ელასტიური სერვერიდან გაჟონა მხოლოდ 250 000 კონფიდენციალური დოკუმენტი, მათ შორის იურიდიული. და ეს მხოლოდ პირველი საძიებო გვერდია ჩვენს მიერ ნახსენები მოთხოვნისთვის.

ფაქტობრივად, ჰაკერობა გრძელდება დღემდე და დაიწყო მას შემდეგ, რაც უსაფრთხოების ფუნქციები თავად დეველოპერებმა ამოიღეს და ღია კოდით გადაიტანეს.

მკითხველმა შეიძლება შენიშნოს: „მერე რა? კარგი, მათ აქვთ უსაფრთხოების პრობლემები, მაგრამ ვის არა?

ახლა კი ყურადღება.

საკითხავი ის არის, რომ ამ ორშაბათამდე Elastic-მა სუფთა სინდისით აიღო კლიენტებისგან ფული უსაფრთხოების ფუნქციებისთვის, რომელიც მან ღია წყაროში გამოუშვა ჯერ კიდევ 2018 წლის თებერვალში, ანუ დაახლოებით 15 თვის წინ. ამ ფუნქციების მხარდასაჭერად რაიმე მნიშვნელოვანი დანახარჯების გაწევის გარეშე, კომპანია რეგულარულად იღებდა მათ ფულს საწარმოს კლიენტების სეგმენტის ოქროსა და პრემიუმ აბონენტებისგან.

რაღაც მომენტში უსაფრთხოების პრობლემები იმდენად ტოქსიკური გახდა კომპანიისთვის და მომხმარებელთა პრეტენზიები იმდენად საშიში გახდა, რომ სიხარბემ უკანა პლანზე გადაინაცვლა. თუმცა, იმის ნაცვლად, რომ განაახლონ განვითარება და „გააკეთონ“ ხვრელები საკუთარ პროექტში, რის გამოც მილიონობით დოკუმენტი და ჩვეულებრივი ადამიანების პერსონალური მონაცემები შევიდა საჯარო ხელმისაწვდომობაში, Elastic-მა უსაფრთხოების ფუნქციები ჩააგდო elasticsearch-ის უფასო ვერსიაში. და ის წარმოაჩენს ამას, როგორც დიდ სარგებელს და წვლილს ღია წყაროს საქმეში.

ასეთი „ეფექტური“ გადაწყვეტილებების ფონზე ბლოგის პოსტის მეორე ნაწილი უკიდურესად უცნაურად გამოიყურება, რის გამოც ჩვენ, ფაქტობრივად, ყურადღება მივაქციეთ ამ ამბავს. ეს დაახლოებით Elastic Cloud-ის Kubernetes-ზე (ECK) ალფა ვერსიის გამოშვების შესახებ - ოფიციალური Kubernetes ოპერატორი Elasticsearch და Kibana-სთვის.

დეველოპერები, სახეების სრულიად სერიოზული გამომეტყველებით, ამბობენ, რომ უსაფრთხოების ფუნქციების ჩართვის გამო elasticsearch უსაფრთხოების ფუნქციების ძირითად უფასო პაკეტში, ამ გადაწყვეტილებების მომხმარებლის ადმინისტრატორებზე დატვირთვა შემცირდება. და ზოგადად, ყველაფერი მშვენიერია.

„ჩვენ შეგვიძლია უზრუნველვყოთ, რომ ECK-ის მიერ გაშვებული და მართული ყველა კლასტერი დაცული იქნება გაშვებისგან ნაგულისხმევად, ადმინისტრატორებისთვის დამატებითი ტვირთის გარეშე“, - ნათქვამია ოფიციალურ ბლოგში.

როგორ მისცემს მომხმარებლებს უსაფრთხოებას მიტოვებული და ორიგინალური დეველოპერების მიერ ნამდვილად არ მხარდაჭერილი გადაწყვეტა, რომელიც გასული წლის განმავლობაში გადაიქცა უნივერსალურ ჭედურ ​​ბიჭად, დეველოპერები დუმან.

წყარო: www.habr.com