Elasticsearch ले खुला स्रोतमा पहिले जारी गरिएको नि: शुल्क समस्याग्रस्त सुरक्षा प्रकार्यहरू बनाउँछ

हालै इलास्टिक ब्लगमा त्यहाँ एक पोस्ट थियो, जसले रिपोर्ट गर्छ कि Elasticsearch को मुख्य सुरक्षा कार्यहरू, खुला स्रोत ठाउँमा एक वर्ष भन्दा बढी अघि जारी गरिएको थियो, अब प्रयोगकर्ताहरूको लागि निःशुल्क छ।

आधिकारिक ब्लग पोष्टले "सही" शब्दहरू समावेश गर्दछ जुन खुला स्रोत नि: शुल्क हुनुपर्छ र परियोजना मालिकहरूले उनीहरूको व्यवसायलाई अन्य अतिरिक्त प्रकार्यहरूमा निर्माण गर्छन् जुन उनीहरूले उद्यम समाधानहरूको लागि प्रस्ताव गर्छन्। अब 6.8.0 र 7.1.0 संस्करणहरूको आधार निर्माणमा निम्न सुरक्षा प्रकार्यहरू समावेश छन्, पहिले मात्र सुनको सदस्यताको साथ उपलब्ध:

• एन्क्रिप्टेड संचारको लागि TLS।
• प्रयोगकर्ता प्रविष्टिहरू सिर्जना र प्रबन्ध गर्नका लागि फाइल र नेटिभ क्षेत्र।
• API र भूमिका-आधारित क्लस्टरमा प्रयोगकर्ता पहुँच प्रबन्ध गर्नुहोस्; किबाना स्पेस प्रयोग गरेर किबानामा बहु-प्रयोगकर्ता पहुँच अनुमति छ।

यद्यपि, नि: शुल्क खण्डमा सुरक्षा कार्यहरू स्थानान्तरण गर्नु एक व्यापक इशारा होइन, तर एक व्यावसायिक उत्पादन र यसको मुख्य समस्याहरू बीच दूरी सिर्जना गर्ने प्रयास हो।

र उहाँसँग केही गम्भीर छन्।

"इलास्टिक लीक" क्वेरीले गुगलमा 13,3 मिलियन खोज परिणामहरू फर्काउँछ। प्रभावशाली, हैन? खुला स्रोतमा परियोजनाको सुरक्षा कार्यहरू जारी गरेपछि, जुन एक पटक राम्रो विचार जस्तो देखिन्थ्यो, इलास्टिकले डेटा लीकको साथ गम्भीर समस्याहरू गर्न थाल्यो। वास्तवमा, आधारभूत संस्करण एक चलनीमा परिणत भयो, किनकि कसैले पनि यी समान सुरक्षा प्रकार्यहरूलाई समर्थन गर्दैन।

इलास्टिक सर्भरबाट सबैभन्दा कुख्यात डाटा लीक हुनु भनेको अमेरिकी नागरिकहरूको ५७ मिलियन डाटा हराउनु हो, जसको बारेमा प्रेसमा लेखेका छन् डिसेम्बर 2018 मा (पछि यो पत्ता लाग्यो कि 82 मिलियन रेकर्ड वास्तवमा लीक भएको थियो)। त्यसपछि, डिसेम्बर 2018 मा, ब्राजिलमा इलास्टिकसँग सुरक्षा समस्याहरूको कारण, 32 मिलियन मानिसहरूको डाटा चोरी भयो। मार्च 2019 मा, "केवल" 250 गोप्य कागजातहरू, कानूनी सहित, अर्को लोचदार सर्भरबाट लीक गरियो। र हामीले उल्लेख गरेको प्रश्नको लागि यो पहिलो खोज पृष्ठ मात्र हो।

वास्तवमा, ह्याकिङ आजसम्म जारी छ र विकासकर्ताहरूले आफैंले सुरक्षा कार्यहरू हटाएपछि र खुला स्रोत कोडमा स्थानान्तरण गरेपछि सुरु भयो।

पाठकले टिप्पणी गर्न सक्छ: "त्यसोभए के? ठिक छ, तिनीहरूसँग सुरक्षा समस्याहरू छन्, तर कसले गर्दैन?"

र अब ध्यान।

प्रश्न यो छ कि यस सोमबार भन्दा पहिले, इलास्टिकले स्पष्ट विवेकको साथ, सेक्युरिटी प्रकार्य भनिने चलनीको लागि ग्राहकहरूबाट पैसा लिएको थियो, जुन फेब्रुअरी 2018 मा, अर्थात् लगभग 15 महिना अघि खुला स्रोतमा जारी गरिएको थियो। यी प्रकार्यहरू समर्थन गर्न कुनै पनि महत्त्वपूर्ण लागतहरू बिना, कम्पनीले इन्टरप्राइज ग्राहक खण्डबाट सुन र प्रिमियम ग्राहकहरूबाट नियमित रूपमा तिनीहरूको लागि पैसा लियो।

केही बिन्दुमा, सुरक्षा समस्याहरू कम्पनीको लागि धेरै विषाक्त भए, र ग्राहक गुनासोहरू यति धम्कीपूर्ण भए, कि लोभले पछाडि सिट लियो। यद्यपि, विकास पुन: सुरु गर्नुको सट्टा र आफ्नै परियोजनामा ​​प्वालहरू "प्याच" गर्नुको सट्टा, जसको कारण लाखौं कागजातहरू र साधारण व्यक्तिहरूको व्यक्तिगत डाटा सार्वजनिक पहुँचमा गयो, इलास्टिकले इलास्टिक खोजको नि: शुल्क संस्करणमा सुरक्षा कार्यहरू फ्याँक्यो। र उसले यसलाई खुला स्रोत कारणको लागि ठूलो लाभ र योगदानको रूपमा प्रस्तुत गर्दछ।

त्यस्ता "प्रभावी" समाधानहरूको प्रकाशमा, ब्लग पोष्टको दोस्रो भाग अत्यन्तै अनौठो देखिन्छ, जसको कारण हामीले वास्तवमा यस कथामा ध्यान दिएका छौं। त्यसको बारेमा कुबर्नेट्स (ECK) मा इलास्टिक क्लाउडको अल्फा संस्करणको रिलीजको बारेमा - Elasticsearch र Kibana को लागि आधिकारिक Kubernetes अपरेटर।

विकासकर्ताहरू, तिनीहरूको अनुहारमा पूर्ण रूपमा गम्भीर अभिव्यक्तिको साथ, भन्छन् कि elasticsearch सुरक्षा प्रकार्यहरूको आधारभूत नि: शुल्क प्याकेजमा सुरक्षा प्रकार्यहरू समावेश गर्दा, यी समाधानहरूको प्रयोगकर्ता प्रशासकहरूमा भार कम हुनेछ। र सामान्य मा, सबै कुरा महान छ।

"हामी सुनिश्चित गर्न सक्छौं कि ECK द्वारा लन्च गरिएका र व्यवस्थित गरिएका सबै क्लस्टरहरू प्रक्षेपणबाट पूर्वनिर्धारित रूपमा सुरक्षित हुनेछन्, प्रशासकहरूमा कुनै अतिरिक्त भार नपर्ने," आधिकारिक ब्लगले बताउँछ।

कसरी समाधान, परित्याग गरिएको र वास्तवमा मूल विकासकर्ताहरू द्वारा समर्थित छैन, जुन गत वर्षमा एक विश्वव्यापी ह्विपिङ केटामा परिणत भएको छ, प्रयोगकर्ताहरूलाई सुरक्षा प्रदान गर्नेछ, विकासकर्ताहरू मौन छन्।

स्रोत: www.habr.com