Elasticsearch ເຮັດຫນ້າທີ່ຄວາມປອດໄພທີ່ມີບັນຫາຟຣີທີ່ປ່ອຍອອກມາກ່ອນຫນ້ານີ້ໃນແຫຼ່ງເປີດ

ບໍ່ດົນມານີ້ຢູ່ໃນ blog Elastic ມີການຕອບ, ເຊິ່ງລາຍງານວ່າຫນ້າທີ່ຄວາມປອດໄພຕົ້ນຕໍຂອງ Elasticsearch, ປ່ອຍອອກມາໃນພື້ນທີ່ເປີດຫຼາຍກວ່າຫນຶ່ງປີກ່ອນຫນ້ານີ້, ໃນປັດຈຸບັນແມ່ນບໍ່ເສຍຄ່າສໍາລັບຜູ້ໃຊ້.

ບົດຄວາມ blog ຢ່າງເປັນທາງການປະກອບດ້ວຍຄໍາ "ທີ່ຖືກຕ້ອງ" ທີ່ແຫຼ່ງເປີດຄວນຈະບໍ່ເສຍຄ່າແລະເຈົ້າຂອງໂຄງການກໍ່ສ້າງທຸລະກິດຂອງເຂົາເຈົ້າໃນຫນ້າທີ່ເພີ່ມເຕີມອື່ນໆທີ່ພວກເຂົາສະເຫນີສໍາລັບການແກ້ໄຂວິສາຫະກິດ. ໃນປັດຈຸບັນການສ້າງພື້ນຖານຂອງຮຸ່ນ 6.8.0 ແລະ 7.1.0 ປະກອບມີຫນ້າທີ່ຮັກສາຄວາມປອດໄພຕໍ່ໄປນີ້, ກ່ອນຫນ້ານີ້ສາມາດໃຊ້ໄດ້ກັບການສະຫມັກຄໍາເທົ່ານັ້ນ:

• TLS ສໍາລັບການສື່ສານທີ່ຖືກເຂົ້າລະຫັດ.
• ໄຟລ໌ ແລະດິນແດນພື້ນເມືອງເພື່ອສ້າງ ແລະຈັດການລາຍການຂອງຜູ້ໃຊ້.
• ຈັດການການເຂົ້າເຖິງຜູ້ໃຊ້ API ແລະກຸ່ມທີ່ອີງໃສ່ບົດບາດ; ຜູ້ໃຊ້ຫຼາຍຄົນເຂົ້າເຖິງ Kibana ແມ່ນອະນຸຍາດໃຫ້ໃຊ້ Kibana Spaces.

ຢ່າງໃດກໍ່ຕາມ, ການໂອນຫນ້າຄວາມປອດໄພໄປຫາພາກຟຣີບໍ່ແມ່ນ gesture ກວ້າງ, ແຕ່ຄວາມພະຍາຍາມທີ່ຈະສ້າງໄລຍະຫ່າງລະຫວ່າງຜະລິດຕະພັນການຄ້າແລະບັນຫາຕົ້ນຕໍຂອງມັນ.

ແລະລາວມີບາງອັນຮ້າຍແຮງ.

ຄໍາຖາມ "Elastic Leaked" ກັບຄືນມາ 13,3 ລ້ານຜົນການຄົ້ນຫາໃນ Google. ປະທັບໃຈ, ບໍ່ແມ່ນບໍ? ຫຼັງຈາກປ່ອຍຫນ້າທີ່ຄວາມປອດໄພຂອງໂຄງການໃຫ້ກັບແຫຼ່ງເປີດ, ເຊິ່ງຄັ້ງຫນຶ່ງເບິ່ງຄືວ່າເປັນຄວາມຄິດທີ່ດີ, Elastic ເລີ່ມມີບັນຫາຮ້າຍແຮງກັບການຮົ່ວໄຫລຂອງຂໍ້ມູນ. ໃນຄວາມເປັນຈິງ, ສະບັບພື້ນຖານໄດ້ຫັນເຂົ້າໄປໃນ sieve ໄດ້, ເນື່ອງຈາກວ່າບໍ່ມີໃຜສະຫນັບສະຫນູນຫນ້າທີ່ຄວາມປອດໄພດຽວກັນເຫຼົ່ານີ້.

ຂໍ້​ມູນ​ທີ່​ຮົ່ວ​ໄຫລ​ອອກ​ມາ​ຈາກ​ເຊີບ​ເວີ elastic ແມ່ນ​ການ​ສູນ​ເສຍ​ຂໍ້​ມູນ 57 ລ້ານ​ຄົນ​ຂອງ​ພົນ​ລະ​ເມືອງ​ອາ​ເມ​ລິ​ກາ, ກ່ຽວ​ກັບ​ການ​ຮົ່ວ​ໄຫລ​ຂອງ​ຂໍ້​ມູນ​ທີ່​ບໍ່​ຮູ້​ຈັກ​ທີ່​ສຸດ. ຂຽນໃນຫນັງສືພິມ ໃນເດືອນທັນວາ 2018 (ຕໍ່ມາມັນໄດ້ສະແດງໃຫ້ເຫັນວ່າ 82 ລ້ານບັນທຶກຕົວຈິງໄດ້ຖືກຮົ່ວໄຫຼ). ຫຼັງຈາກນັ້ນ, ໃນເດືອນທັນວາ 2018, ເນື່ອງຈາກບັນຫາຄວາມປອດໄພກັບ Elastic ໃນປະເທດບຣາຊິນ, ຂໍ້ມູນຂອງ 32 ລ້ານຄົນໄດ້ຖືກລັກ. ໃນເດືອນມີນາ 2019, "ພຽງແຕ່" 250 ເອກະສານລັບ, ລວມທັງເອກະສານທາງດ້ານກົດຫມາຍ, ໄດ້ຮົ່ວໄຫຼຈາກເຄື່ອງແມ່ຂ່າຍ elastic ອື່ນ. ແລະນີ້ແມ່ນພຽງແຕ່ຫນ້າຄົ້ນຫາທໍາອິດສໍາລັບການສອບຖາມທີ່ພວກເຮົາໄດ້ກ່າວມາ.

ໃນຄວາມເປັນຈິງ, ການ hack ຍັງສືບຕໍ່ມາຮອດມື້ນີ້ແລະເລີ່ມຕົ້ນບໍ່ດົນຫລັງຈາກຫນ້າທີ່ຄວາມປອດໄພໄດ້ຖືກໂຍກຍ້າຍອອກໂດຍນັກພັດທະນາຕົວເອງແລະໂອນໄປຫາລະຫັດແຫຼ່ງເປີດ.

ຜູ້ອ່ານອາດຈະສັງເກດວ່າ: “ດັ່ງນັ້ນແມ່ນຫຍັງ? ແລ້ວ, ພວກເຂົາມີບັນຫາຄວາມປອດໄພ, ແຕ່ໃຜບໍ່?"

ແລະໃນປັດຈຸບັນເອົາໃຈໃສ່.

ຄໍາຖາມແມ່ນວ່າກ່ອນວັນຈັນນີ້, Elastic, ທີ່ມີສະຕິຢ່າງຈະແຈ້ງ, ໄດ້ເອົາເງິນຈາກລູກຄ້າສໍາລັບ sieve ທີ່ເອີ້ນວ່າຫນ້າທີ່ຄວາມປອດໄພ, ເຊິ່ງມັນປ່ອຍອອກມາເມື່ອແຫຼ່ງເປີດກັບຄືນໄປບ່ອນໃນເດືອນກຸມພາ 2018, ນັ້ນແມ່ນປະມານ 15 ເດືອນກ່ອນຫນ້ານີ້. ໂດຍບໍ່ມີຄ່າໃຊ້ຈ່າຍທີ່ສໍາຄັນໃດໆເພື່ອສະຫນັບສະຫນູນຫນ້າທີ່ເຫຼົ່ານີ້, ບໍລິສັດໄດ້ເອົາເງິນໃຫ້ພວກເຂົາເປັນປະຈໍາຈາກຜູ້ຈອງຄໍາແລະ premium ຈາກພາກສ່ວນລູກຄ້າວິສາຫະກິດ.

ໃນບາງຈຸດ, ບັນຫາຄວາມປອດໄພໄດ້ກາຍເປັນພິດຫຼາຍສໍາລັບບໍລິສັດ, ແລະການຮ້ອງທຸກຂອງລູກຄ້າໄດ້ກາຍເປັນໄພຂົ່ມຂູ່ຫຼາຍ, ຄວາມໂລບໄດ້ເອົາບ່ອນນັ່ງກັບຄືນໄປບ່ອນ. ຢ່າງໃດກໍຕາມ, ແທນທີ່ຈະສືບຕໍ່ການພັດທະນາແລະ "patching" ຂຸມໃນໂຄງການຂອງຕົນເອງ, ເນື່ອງຈາກວ່າລ້ານເອກະສານແລະຂໍ້ມູນສ່ວນບຸກຄົນຂອງປະຊາຊົນທົ່ວໄປເຂົ້າໄປໃນການເຂົ້າເຖິງສາທາລະນະ, Elastic ຖິ້ມຫນ້າທີ່ຄວາມປອດໄພເຂົ້າໄປໃນສະບັບຟຣີຂອງ elasticsearch. ແລະລາວສະເຫນີນີ້ເປັນຜົນປະໂຫຍດອັນໃຫຍ່ຫຼວງແລະການປະກອບສ່ວນເຂົ້າໃນສາເຫດຂອງແຫຼ່ງເປີດ.

ໃນຄວາມສະຫວ່າງຂອງການແກ້ໄຂ "ປະສິດທິພາບ" ດັ່ງກ່າວ, ສ່ວນທີສອງຂອງການຕອບ blog ເບິ່ງຄືວ່າແປກທີ່ສຸດ, ເພາະວ່າພວກເຮົາ, ໃນຄວາມເປັນຈິງ, ເອົາໃຈໃສ່ກັບເລື່ອງນີ້. ມັນກ່ຽວກັບ ກ່ຽວກັບການເປີດຕົວເວີຊັນ alpha ຂອງ Elastic Cloud ເທິງ Kubernetes (ECK) - ຜູ້ປະກອບການ Kubernetes ຢ່າງເປັນທາງການສໍາລັບ Elasticsearch ແລະ Kibana.

ນັກພັດທະນາ, ດ້ວຍການສະແດງອອກຢ່າງຈິງຈັງໃນໃບຫນ້າຂອງພວກເຂົາ, ເວົ້າວ່າເນື່ອງຈາກການລວມເອົາຫນ້າທີ່ຄວາມປອດໄພໃນຊຸດພື້ນຖານຂອງຫນ້າທີ່ຄວາມປອດໄພຂອງ elasticsearch, ການໂຫຼດຜູ້ໃຊ້ຂອງການແກ້ໄຂເຫຼົ່ານີ້ຈະຫຼຸດລົງ. ແລະໂດຍທົ່ວໄປ, ທຸກສິ່ງທຸກຢ່າງແມ່ນຍິ່ງໃຫຍ່.

"ພວກເຮົາສາມາດຮັບປະກັນວ່າກຸ່ມທັງຫມົດທີ່ເປີດຕົວແລະຄຸ້ມຄອງໂດຍ ECK ຈະຖືກປົກປ້ອງໂດຍຄ່າເລີ່ມຕົ້ນຈາກການເປີດຕົວ, ໂດຍບໍ່ມີພາລະເພີ່ມເຕີມຕໍ່ກັບຜູ້ບໍລິຫານ," blog ຢ່າງເປັນທາງການກ່າວວ່າ.

ວິທີການແກ້ໄຂ, ການປະຖິ້ມໄວ້ແລະບໍ່ໄດ້ຮັບການສະຫນັບສະຫນູນຢ່າງແທ້ຈິງໂດຍນັກພັດທະນາຕົ້ນສະບັບ, ເຊິ່ງໃນປີທີ່ຜ່ານມາໄດ້ຫັນເປັນເດັກຜູ້ຊາຍ whipping ທົ່ວໄປ, ຈະໃຫ້ຜູ້ໃຊ້ມີຄວາມປອດໄພ, ນັກພັດທະນາແມ່ນງຽບ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com