ഇലാസ്റ്റിക് സെർച്ച് ഓപ്പൺ സോഴ്‌സിൽ മുമ്പ് പുറത്തിറക്കിയ സൗജന്യ പ്രശ്‌നകരമായ സുരക്ഷാ പ്രവർത്തനങ്ങൾ ചെയ്യുന്നു

അടുത്തിടെ ഇലാസ്റ്റിക് ബ്ലോഗിൽ ഒരു പോസ്റ്റ് ഉണ്ടായിരുന്നു, ഒരു വർഷം മുമ്പ് ഓപ്പൺ സോഴ്‌സ് സ്‌പെയ്‌സിലേക്ക് റിലീസ് ചെയ്ത ഇലാസ്റ്റിക് സെർച്ചിന്റെ പ്രധാന സുരക്ഷാ പ്രവർത്തനങ്ങൾ ഇപ്പോൾ ഉപയോക്താക്കൾക്ക് സൗജന്യമാണെന്ന് റിപ്പോർട്ട് ചെയ്യുന്നു.

ഔദ്യോഗിക ബ്ലോഗ് പോസ്റ്റിൽ ഓപ്പൺ സോഴ്‌സ് സൌജന്യമായിരിക്കണം കൂടാതെ എന്റർപ്രൈസ് സൊല്യൂഷനുകൾക്കായി അവർ വാഗ്ദാനം ചെയ്യുന്ന മറ്റ് അധിക ഫംഗ്ഷനുകളിൽ പ്രൊജക്റ്റ് ഉടമകൾ അവരുടെ ബിസിനസ്സ് നിർമ്മിക്കുന്ന "ശരിയായ" വാക്കുകൾ അടങ്ങിയിരിക്കുന്നു. ഇപ്പോൾ 6.8.0, 7.1.0 പതിപ്പുകളുടെ അടിസ്ഥാന ബിൽഡുകളിൽ ഇനിപ്പറയുന്ന സുരക്ഷാ ഫംഗ്‌ഷനുകൾ ഉൾപ്പെടുന്നു, മുമ്പ് സ്വർണ്ണ സബ്‌സ്‌ക്രിപ്‌ഷനിൽ മാത്രം ലഭ്യമാണ്:

• എൻക്രിപ്റ്റ് ചെയ്ത ആശയവിനിമയത്തിനുള്ള TLS.
• ഉപയോക്തൃ എൻട്രികൾ സൃഷ്‌ടിക്കുന്നതിനും നിയന്ത്രിക്കുന്നതിനുമുള്ള ഫയലും നേറ്റീവ് മേഖലയും.
• API, റോൾ-ബേസ്ഡ് ക്ലസ്റ്റർ എന്നിവയിലേക്കുള്ള ഉപയോക്തൃ ആക്സസ് നിയന്ത്രിക്കുക; കിബാന സ്‌പെയ്‌സുകൾ ഉപയോഗിച്ച് കിബാനയിലേക്ക് ഒന്നിലധികം ഉപയോക്തൃ ആക്‌സസ് അനുവദിച്ചിരിക്കുന്നു.

എന്നിരുന്നാലും, സൌജന്യ വിഭാഗത്തിലേക്ക് സുരക്ഷാ പ്രവർത്തനങ്ങൾ കൈമാറുന്നത് ഒരു വിശാലമായ ആംഗ്യമല്ല, മറിച്ച് ഒരു വാണിജ്യ ഉൽപ്പന്നവും അതിന്റെ പ്രധാന പ്രശ്നങ്ങളും തമ്മിലുള്ള അകലം സൃഷ്ടിക്കാനുള്ള ശ്രമമാണ്.

കൂടാതെ അദ്ദേഹത്തിന് ചില ഗുരുതരമായ കാര്യങ്ങളുണ്ട്.

"Elastic Leaked" എന്ന ചോദ്യം Google-ൽ 13,3 ദശലക്ഷം തിരയൽ ഫലങ്ങൾ നൽകുന്നു. ശ്രദ്ധേയമാണ്, അല്ലേ? പ്രോജക്റ്റിന്റെ സുരക്ഷാ പ്രവർത്തനങ്ങൾ ഓപ്പൺ സോഴ്‌സിലേക്ക് റിലീസ് ചെയ്‌തതിന് ശേഷം, ഇത് ഒരു നല്ല ആശയമാണെന്ന് ഒരിക്കൽ തോന്നി, ഡാറ്റ ചോർച്ചയുമായി ബന്ധപ്പെട്ട് ഇലാസ്റ്റിക് ഗുരുതരമായ പ്രശ്‌നങ്ങൾ നേരിടാൻ തുടങ്ങി. വാസ്തവത്തിൽ, അടിസ്ഥാന പതിപ്പ് ഒരു അരിപ്പയായി മാറി, കാരണം ഇതേ സുരക്ഷാ പ്രവർത്തനങ്ങളെ ആരും ശരിക്കും പിന്തുണച്ചില്ല.

ഒരു ഇലാസ്റ്റിക് സെർവറിൽ നിന്നുള്ള ഏറ്റവും കുപ്രസിദ്ധമായ ഡാറ്റ ചോർച്ചകളിലൊന്ന് യുഎസ് പൗരന്മാരുടെ 57 ദശലക്ഷം ഡാറ്റ നഷ്ടപ്പെട്ടതാണ്. പത്രത്തിൽ എഴുതി 2018 ഡിസംബറിൽ (82 ദശലക്ഷം റെക്കോർഡുകൾ യഥാർത്ഥത്തിൽ ചോർന്നതായി പിന്നീട് തെളിഞ്ഞു). തുടർന്ന്, 2018 ഡിസംബറിൽ, ബ്രസീലിലെ ഇലാസ്റ്റിക് സുരക്ഷാ പ്രശ്നങ്ങൾ കാരണം, 32 ദശലക്ഷം ആളുകളുടെ ഡാറ്റ മോഷ്ടിക്കപ്പെട്ടു. 2019 മാർച്ചിൽ, മറ്റൊരു ഇലാസ്റ്റിക് സെർവറിൽ നിന്ന് നിയമപരമായവ ഉൾപ്പെടെ 250 രഹസ്യ രേഖകൾ "മാത്രം" ചോർന്നു. ഞങ്ങൾ സൂചിപ്പിച്ച അന്വേഷണത്തിനായുള്ള ആദ്യ തിരയൽ പേജ് മാത്രമാണിത്.

വാസ്തവത്തിൽ, ഹാക്കിംഗ് ഇന്നും തുടരുന്നു, സുരക്ഷാ പ്രവർത്തനങ്ങൾ ഡവലപ്പർമാർ തന്നെ നീക്കം ചെയ്യുകയും ഓപ്പൺ സോഴ്സ് കോഡിലേക്ക് മാറ്റുകയും ചെയ്തതിന് തൊട്ടുപിന്നാലെ ആരംഭിച്ചു.

വായനക്കാരൻ ഇങ്ങനെ പറഞ്ഞേക്കാം: “അപ്പോൾ എന്ത്? ശരി, അവർക്ക് സുരക്ഷാ പ്രശ്‌നങ്ങളുണ്ട്, പക്ഷേ ആർക്കില്ല?"

ഇപ്പോൾ ശ്രദ്ധയും.

ഈ തിങ്കളാഴ്ചയ്ക്ക് മുമ്പ്, ഇലാസ്റ്റിക്, വ്യക്തമായ മനഃസാക്ഷിയോടെ, സെക്യൂരിറ്റി ഫംഗ്‌ഷനുകൾ എന്ന അരിപ്പയ്ക്കായി ക്ലയന്റുകളിൽ നിന്ന് പണം വാങ്ങി, അത് 2018 ഫെബ്രുവരിയിൽ, അതായത് ഏകദേശം 15 മാസം മുമ്പ് ഓപ്പൺ സോഴ്‌സിലേക്ക് റിലീസ് ചെയ്തു എന്നതാണ് ചോദ്യം. ഈ ഫംഗ്‌ഷനുകളെ പിന്തുണയ്‌ക്കുന്നതിന് കാര്യമായ ചിലവുകൾ വരുത്താതെ, എന്റർപ്രൈസ് ക്ലയന്റ് സെഗ്‌മെന്റിൽ നിന്നുള്ള സ്വർണ്ണ, പ്രീമിയം വരിക്കാരിൽ നിന്ന് കമ്പനി അവർക്കായി പതിവായി പണം സ്വീകരിച്ചു.

ചില ഘട്ടങ്ങളിൽ, സുരക്ഷാ പ്രശ്നങ്ങൾ കമ്പനിക്ക് വളരെ വിഷലിപ്തമായിത്തീർന്നു, ഉപഭോക്തൃ പരാതികൾ വളരെ ഭീഷണിയായിത്തീർന്നു, അത്യാഗ്രഹം ഒരു പിൻസീറ്റ് എടുത്തു. എന്നിരുന്നാലും, വികസനം പുനരാരംഭിക്കുന്നതിനും സ്വന്തം പ്രോജക്റ്റിലെ ദ്വാരങ്ങൾ "പാച്ച്" ചെയ്യുന്നതിനുപകരം, ദശലക്ഷക്കണക്കിന് രേഖകളും സാധാരണക്കാരുടെ വ്യക്തിഗത ഡാറ്റയും പൊതു പ്രവേശനത്തിലേക്ക് പോയതിനാൽ, ഇലാസ്റ്റിക് ഇലാസ്റ്റിക് സെർച്ചിന്റെ സ്വതന്ത്ര പതിപ്പിലേക്ക് സുരക്ഷാ പ്രവർത്തനങ്ങൾ എറിഞ്ഞു. ഓപ്പൺ സോഴ്‌സ് കാരണത്തിലേക്കുള്ള വലിയ നേട്ടമായും സംഭാവനയായും അദ്ദേഹം ഇത് അവതരിപ്പിക്കുന്നു.

അത്തരം “ഫലപ്രദമായ” പരിഹാരങ്ങളുടെ വെളിച്ചത്തിൽ, ബ്ലോഗ് പോസ്റ്റിന്റെ രണ്ടാം ഭാഗം അങ്ങേയറ്റം വിചിത്രമായി തോന്നുന്നു, അതിനാലാണ് ഞങ്ങൾ ഈ സ്റ്റോറിയിൽ ശ്രദ്ധ ചെലുത്തിയത്. അത് ഏകദേശം കുബെർനെറ്റസിലെ ഇലാസ്റ്റിക് ക്ലൗഡിന്റെ (ECK) ആൽഫ പതിപ്പിന്റെ പ്രകാശനത്തെക്കുറിച്ച് - ഇലാസ്റ്റിക് സെർച്ചിന്റെയും കിബാനയുടെയും ഔദ്യോഗിക കുബർനെറ്റസ് ഓപ്പറേറ്റർ.

ഇലാസ്റ്റിക് സെർച്ച് സെക്യൂരിറ്റി ഫംഗ്‌ഷനുകളുടെ അടിസ്ഥാന സൗജന്യ പാക്കേജിൽ സുരക്ഷാ ഫംഗ്‌ഷനുകൾ ഉൾപ്പെടുത്തുന്നത് കാരണം, ഈ പരിഹാരങ്ങളുടെ ഉപയോക്തൃ അഡ്മിനിസ്ട്രേറ്റർമാരുടെ ലോഡ് കുറയുമെന്ന് ഡെവലപ്പർമാർ, അവരുടെ മുഖത്ത് പൂർണ്ണമായും ഗൗരവമുള്ള ഭാവത്തോടെ പറയുന്നു. പൊതുവേ, എല്ലാം മികച്ചതാണ്.

"ഇസികെ സമാരംഭിക്കുകയും നിയന്ത്രിക്കുകയും ചെയ്യുന്ന എല്ലാ ക്ലസ്റ്ററുകളും ലോഞ്ചിൽ നിന്ന് ഡിഫോൾട്ടായി പരിരക്ഷിക്കപ്പെടുമെന്ന് ഞങ്ങൾക്ക് ഉറപ്പാക്കാൻ കഴിയും, അഡ്മിനിസ്ട്രേറ്റർമാർക്ക് അധിക ബാധ്യതയൊന്നുമില്ല," ഔദ്യോഗിക ബ്ലോഗ് പ്രസ്താവിക്കുന്നു.

ഒറിജിനൽ ഡെവലപ്പർമാർ ഉപേക്ഷിച്ചതും യഥാർത്ഥത്തിൽ പിന്തുണയ്ക്കാത്തതുമായ പരിഹാരം, കഴിഞ്ഞ ഒരു വർഷമായി ഒരു സാർവത്രിക വിപ്പിംഗ് ബോയ് ആയി മാറിയത് എങ്ങനെ ഉപയോക്താക്കൾക്ക് സുരക്ഷ നൽകും, ഡവലപ്പർമാർ നിശബ്ദരാണ്.

അവലംബം: www.habr.com