Recentemente, no blog da Elastic , onde é relatado que as principais funções de segurança do Elasticsearch, lançadas no espaço de código aberto há mais de um ano, agora são gratuitas para os usuários.
Na postagem oficial do blog, são mencionadas as "palavras certas" de que o código aberto deve ser gratuito e que os proprietários do projeto estão construindo seu negócio com base em outras funções adicionais, que são oferecidas para soluções empresariais. Agora, as seguintes funções de segurança, anteriormente disponíveis apenas com a assinatura gold, estão incluídas nas compilações básicas das versões 6.8.0 e 7.1.0:
- TLS para comunicação criptografada.
- File e native realm para criação e gerenciamento de contas de usuários.
- Gerenciamento de acesso de usuários à API e ao cluster com base em funções; o acesso multiusuário ao Kibana é permitido usando os Kibana Spaces.
No entanto, a transferência das funções de segurança para a seção gratuita não é um gesto generoso, mas uma tentativa de criar uma distância entre o produto comercial e suas principais falhas.
E eles têm falhas sérias.
A pesquisa "Elastic Leaked" retorna 13,3 milhões de resultados no Google. Impressionante, não é?
Após o lançamento das funções de segurança do projeto no código aberto, que outrora parecia uma boa ideia, a Elastic começou a enfrentar sérios problemas de vazamento de dados. De fato, a versão básica se tornou um verdadeiro queijo suíço, já que ninguém realmente mantinha essas funções de segurança. foi noticiado na imprensa
em dezembro de 2018 (posteriormente, descobriu-se que na verdade 82 milhões de registros haviam vazado). Na mesma época, em dezembro de 2018, devido a problemas de segurança, dados de 32 milhões de pessoas foram roubados no Brasil. Em março de 2019, de outro servidor elastic, vazaram "apenas" 250.000 documentos confidenciais, incluindo documentos legais. E isso é apenas a primeira página da pesquisa para a consulta mencionada.
De fato, os hacks continuam até hoje e começaram logo após a remoção 'da graça' das funções de segurança pelos próprios desenvolvedores e sua transferência para o código aberto.
O leitor pode notar: "E daí? Eles têm problemas de segurança, e quem não os tem?"
A questão é que até esta segunda-feira, a Elastic estava, sem remorso, cobrando dos clientes por uma peneira chamada funções de segurança, que ela mesma lançou como open source em fevereiro de 2018, ou seja, há cerca de 15 meses. Sem assumir despesas significativas para manter essas funções, a empresa continuou a cobrar por elas de assinantes gold e premium do segmento empresarial.
Em algum momento, os problemas de segurança tornaram-se tão tóxicos para a empresa e as reclamações dos clientes tão ameaçadoras que a ganância ficou em segundo plano. No entanto, em vez de retomar o desenvolvimento e 'tapar' os buracos em seu propio projeto, pelos quais milhões de documentos e dados pessoais de pessoas comuns vazaram, a Elastic despejou as funções de segurança na versão gratuita do Elasticsearch. E apresenta isso como uma grande bênção e um apoio ao open source.
À luz de tais 'soluções eficazes', a segunda parte da postagem no blog, pela qual, de fato, chamamos atenção para esta história, parece extremamente estranha. Refere-se — o operador oficial do Kubernetes para Elasticsearch e Kibana.
Desenvolvedores, com uma expressão séria no rosto, afirmam que, devido à inclusão das funções de segurança na configuração básica gratuita do Elasticsearch, a carga sobre os administradores desses usuários será reduzida. E, afinal, tudo está ótimo.
‘Podemos garantir que todos os clusters iniciados e geridos pelo ECK estarão protegidos por padrão desde o início, sem carga adicional para os administradores’, diz o blog oficial.
Como uma solução abandonada e praticamente sem suporte dos desenvolvedores originais, que se tornou um alvo de críticas no último ano, garantirá segurança aos usuários, os desenvolvedores não comentam.
Fonte: habr.com
