इलास्टिकसर्च मुक्त स्त्रोतामध्ये मुक्त समस्याग्रस्त सुरक्षा कार्ये पूर्वी रिलीझ करते

अलीकडे इलास्टिक ब्लॉगवर एक पोस्ट होती, जे अहवाल देते की Elasticsearch ची मुख्य सुरक्षा कार्ये, एक वर्षापेक्षा जास्त पूर्वी ओपन सोर्स स्पेसमध्ये सोडण्यात आली होती, आता वापरकर्त्यांसाठी विनामूल्य आहेत.

अधिकृत ब्लॉग पोस्टमध्ये "योग्य" शब्द आहेत जे मुक्त स्त्रोत विनामूल्य असावेत आणि प्रकल्प मालक एंटरप्राइझ सोल्यूशन्ससाठी ऑफर केलेल्या इतर अतिरिक्त कार्यांवर त्यांचा व्यवसाय तयार करतात. आता 6.8.0 आणि 7.1.0 आवृत्त्यांच्या बेस बिल्डमध्ये खालील सुरक्षा फंक्शन्स समाविष्ट आहेत, पूर्वी फक्त गोल्ड सबस्क्रिप्शनसह उपलब्ध होते:

• एनक्रिप्टेड संप्रेषणासाठी TLS.
• वापरकर्ता नोंदी तयार आणि व्यवस्थापित करण्यासाठी फाइल आणि मूळ क्षेत्र.
• API आणि भूमिका-आधारित क्लस्टरमध्ये वापरकर्ता प्रवेश व्यवस्थापित करा; Kibana Spaces वापरून Kibana मध्ये बहु-वापरकर्ता प्रवेशास अनुमती आहे.

तथापि, सुरक्षा कार्ये विनामूल्य विभागात हस्तांतरित करणे हा एक व्यापक जेश्चर नाही, परंतु व्यावसायिक उत्पादन आणि त्याच्या मुख्य समस्यांमध्ये अंतर निर्माण करण्याचा प्रयत्न आहे.

आणि त्याच्याकडे काही गंभीर आहेत.

"इलॅस्टिक लीक" ही क्वेरी Google वर 13,3 दशलक्ष शोध परिणाम देते. प्रभावी, नाही का? प्रकल्पाची सुरक्षा फंक्शन्स ओपन सोर्सवर रिलीझ केल्यानंतर, जी एकेकाळी चांगली कल्पना वाटली होती, इलास्टिकला डेटा लीकसह गंभीर समस्या येऊ लागल्या. खरं तर, मूळ आवृत्ती चाळणीत बदलली, कारण या समान सुरक्षा कार्यांना कोणीही समर्थन दिले नाही.

लवचिक सर्व्हरमधून सर्वात कुख्यात डेटा लीक म्हणजे यूएस नागरिकांचा 57 दशलक्ष डेटा गमावला, ज्याबद्दल प्रेस मध्ये लिहिले डिसेंबर 2018 मध्ये (नंतर असे दिसून आले की प्रत्यक्षात 82 दशलक्ष रेकॉर्ड लीक झाले होते). त्यानंतर, डिसेंबर 2018 मध्ये, ब्राझीलमध्ये इलास्टिकसह सुरक्षा समस्यांमुळे, 32 दशलक्ष लोकांचा डेटा चोरीला गेला. मार्च 2019 मध्ये, कायदेशीर कागदपत्रांसह “केवळ” 250 गोपनीय कागदपत्रे दुसर्‍या लवचिक सर्व्हरवरून लीक झाली. आणि आम्ही नमूद केलेल्या क्वेरीसाठी हे फक्त पहिले शोध पृष्ठ आहे.

खरं तर, हॅकिंग आजही सुरू आहे आणि सुरक्षा कार्ये विकसकांनी स्वतः काढून टाकल्यानंतर आणि ओपन सोर्स कोडमध्ये हस्तांतरित केल्यानंतर लगेचच सुरू झाले.

वाचक कदाचित टिप्पणी करू शकेल: “मग काय? बरं, त्यांना सुरक्षा समस्या आहेत, पण कोणाला नाही?"

आणि आता लक्ष.

प्रश्न असा आहे की या सोमवारपूर्वी, इलास्टिकने स्पष्ट विवेकबुद्धीने क्लायंटकडून सिक्युरिटी फंक्शन्स नावाच्या चाळणीसाठी पैसे घेतले होते, जे फेब्रुवारी 2018 मध्ये, म्हणजे सुमारे 15 महिन्यांपूर्वी ओपन सोर्समध्ये सोडले होते. या कार्यांना समर्थन देण्यासाठी कोणताही महत्त्वपूर्ण खर्च न करता, कंपनी नियमितपणे एंटरप्राइझ क्लायंट विभागातील सोने आणि प्रीमियम सदस्यांकडून त्यांच्यासाठी पैसे घेते.

काही क्षणी, कंपनीसाठी सुरक्षा समस्या इतकी विषारी बनली आणि ग्राहकांच्या तक्रारी इतक्या धोकादायक बनल्या की, लोभ मागे बसला. तथापि, विकास पुन्हा सुरू करण्याऐवजी आणि स्वतःच्या प्रकल्पातील छिद्रे "पॅचिंग" करण्याऐवजी, ज्यामुळे लाखो दस्तऐवज आणि सामान्य लोकांचा वैयक्तिक डेटा सार्वजनिक प्रवेशामध्ये गेला, इलास्टिकने सुरक्षा कार्ये इलास्टिकसर्चच्या विनामूल्य आवृत्तीमध्ये टाकली. आणि तो हे ओपन सोर्स कारणासाठी एक मोठा फायदा आणि योगदान म्हणून सादर करतो.

अशा "प्रभावी" उपायांच्या प्रकाशात, ब्लॉग पोस्टचा दुसरा भाग अत्यंत विचित्र दिसत आहे, ज्यामुळे आम्ही, खरं तर, या कथेकडे लक्ष दिले. याबद्दल आहे इलास्टिक क्लाउड ऑन कुबर्नेट्स (ईसीके) च्या अल्फा आवृत्तीच्या प्रकाशनाबद्दल - Elasticsearch आणि Kibana साठी अधिकृत Kubernetes ऑपरेटर.

विकसक, त्यांच्या चेहऱ्यावर पूर्णपणे गंभीर अभिव्यक्तीसह, म्हणतात की इलॅस्टिकसर्च सुरक्षा फंक्शन्सच्या मूलभूत विनामूल्य पॅकेजमध्ये सुरक्षा कार्ये समाविष्ट केल्यामुळे, या सोल्यूशन्सच्या वापरकर्त्याच्या प्रशासकांवरील भार कमी होईल. आणि सर्वसाधारणपणे, सर्वकाही छान आहे.

"आम्ही हे सुनिश्चित करू शकतो की ECK द्वारे लॉन्च केलेले आणि व्यवस्थापित केलेले सर्व क्लस्टर लाँचपासून डीफॉल्टनुसार संरक्षित केले जातील, प्रशासकांवर कोणताही अतिरिक्त भार पडणार नाही," अधिकृत ब्लॉग सांगतो.

मागील वर्षभरात सार्वत्रिक व्हीपिंग बॉयमध्ये रूपांतरित झालेल्या मूळ विकसकांद्वारे सोडलेला आणि खरोखर समर्थित नसलेला उपाय वापरकर्त्यांना सुरक्षितता कशी देईल, विकासक गप्प आहेत.

स्त्रोत: www.habr.com