Elasticsearch는 이전에 오픈 소스로 출시된 문제가 있는 보안 기능을 무료로 제공합니다.

최근 Elastic 블로그에서 게시물이 있었어요는 XNUMX년여 전에 오픈 소스 공간에 출시된 Elasticsearch의 주요 보안 기능이 이제 사용자에게 무료로 제공된다고 보고합니다.

공식 블로그 게시물에는 오픈 소스가 무료여야 하며 프로젝트 소유자가 엔터프라이즈 솔루션을 위해 제공하는 다른 추가 기능을 기반으로 비즈니스를 구축한다는 "올바른" 단어가 포함되어 있습니다. 이제 버전 6.8.0 및 7.1.0의 기본 빌드에는 이전에 골드 구독을 통해서만 사용할 수 있었던 다음 보안 기능이 포함됩니다.

• 암호화된 통신을 위한 TLS입니다.
• 사용자 항목을 생성하고 관리하기 위한 파일 및 기본 영역입니다.
• API 및 역할 기반 클러스터에 대한 사용자 액세스를 관리합니다. Kibana Spaces를 사용하면 Kibana에 대한 다중 사용자 액세스가 허용됩니다.

그러나 보안 기능을 무료 섹션으로 이전하는 것은 광범위한 제스처가 아니라 상용 제품과 주요 문제 사이에 거리를 두려는 시도입니다.

그리고 그에게는 몇 가지 심각한 문제가 있습니다.

"Elastic Leaked"라는 검색어는 Google에서 13,3만 개의 검색 결과를 반환합니다. 인상적이지 않나요? 한때 좋은 아이디어로 보였던 프로젝트의 보안 기능을 오픈 소스에 공개한 후 Elastic은 데이터 유출로 인해 심각한 문제를 겪기 시작했습니다. 실제로 동일한 보안 기능을 실제로 지원하는 사람이 아무도 없었기 때문에 기본 버전은 체로 변했습니다.

탄력적 서버에서 가장 악명 높은 데이터 유출 중 하나는 미국 시민의 57만 데이터 손실이었습니다. 언론에 썼다 2018년 82월(나중에 실제로 2018만 건의 기록이 유출된 것으로 밝혀졌습니다). 그러다가 32년 2019월 브라질 Elastic의 보안 문제로 인해 250만 명의 데이터가 도난당했습니다. 000년 XNUMX월에는 법적 문서를 포함해 "단지" XNUMX개의 기밀 문서가 다른 Elastic 서버에서 유출되었습니다. 그리고 이것은 우리가 언급한 검색어에 대한 첫 번째 검색 페이지일 뿐입니다.

실제로 해킹은 오늘날까지 계속되고 있으며 개발자들이 직접 보안 기능을 제거하고 오픈소스 코드로 이전한 직후부터 시작됐다.

독자는 이렇게 말할 수 있습니다. “그래서 뭐요? 글쎄, 그들은 보안 문제가 있지만 누가 그렇지 않습니까?”

그리고 이제 주목.

문제는 이번 월요일 이전에 Elastic이 명확한 양심을 가지고 보안 기능이라는 체를 위해 클라이언트로부터 돈을 가져갔으며, 이 체는 2018년 15월, 즉 약 XNUMX개월 전에 오픈 소스로 출시되었습니다. 이러한 기능을 지원하는 데 상당한 비용을 들이지 않고 회사는 기업 클라이언트 부문의 골드 및 프리미엄 가입자로부터 정기적으로 돈을 받았습니다.

어느 시점에서 보안 문제는 회사에 매우 해로웠고 고객 불만이 너무 위협적이 되어 탐욕이 뒷전으로 밀렸습니다. 그러나 개발을 재개하고 일반 사람들의 수백만 개의 문서와 개인 데이터가 공개적으로 액세스하게 된 자체 프로젝트의 허점을 "패치"하는 대신 Elastic은 무료 버전의 Elasticsearch에 보안 기능을 투입했습니다. 그리고 그는 이것을 오픈 소스 대의에 대한 큰 이익이자 기여로 제시합니다.

이러한 "효과적인" 솔루션을 고려할 때 블로그 게시물의 두 번째 부분은 매우 이상해 보입니다. 그 때문에 실제로 우리는 이 이야기에 주목했습니다. 그것은 관하여 ECK(Elastic Cloud on Kubernetes) 알파 버전 출시에 대해 - Elasticsearch 및 Kibana의 공식 Kubernetes 운영자입니다.

완전히 진지한 표정을 지은 개발자들은 Elasticsearch 보안 기능의 기본 무료 패키지에 보안 기능이 포함되어 있어 이러한 솔루션에 대한 사용자 관리자의 부담이 줄어들 것이라고 말합니다. 그리고 일반적으로 모든 것이 훌륭합니다.

공식 블로그에는 "ECK가 시작하고 관리하는 모든 클러스터가 기본적으로 관리자에게 추가 부담 없이 시작부터 보호되도록 보장할 수 있습니다."라고 나와 있습니다.

지난 XNUMX년 동안 보편적인 채찍질 소년으로 변한 원래 개발자가 포기하고 실제로 지원하지 않는 솔루션이 어떻게 사용자에게 보안을 제공할 것인지에 대해 개발자는 침묵합니다.

출처 : habr.com