Nyligen publicerades ett inlÀgg pÄ Elastic-bloggen I det officiella blogginlÀgget uttrycks "korrekta" ord om att open source bör vara gratis och att projektÀgarna bygger sin verksamhet pÄ andra tillÀggsfunktioner som erbjuds för företagslösningar. Nu ingÄr följande sÀkerhetsfunktioner, som tidigare endast var tillgÀngliga med en guldprenumeration, i de grundlÀggande versionerna av 6.8.0 och 7.1.0:
TLS för krypterad kommunikation.
- Fil- och native-realm för att skapa och hantera anvÀndarkonton.
- Behörighetskontroll för anvÀndare till API och kluster baserat pÄ roller; multi-anvÀndartillgÄng till Kibana tillÄts med hjÀlp av Kibana Spaces.
- Men övergÄngen av sÀkerhetsfunktioner till den kostnadsfria sektionen Àr inte en stor gest utan ett försök att skapa avstÄnd mellan den kommersiella produkten och dess största problem.
Och de Àr allvarliga.
FörfrÄgan "Elastic Leaked" returnerar 13,3 miljoner sökresultat pÄ Google. Imponerande, eller hur? Efter att sÀkerhetsfunktionerna i projektet togs till open source, vad som en gÄng verkade som en bra idé, drabbades Elastic av allvarliga dataintrÄng. Faktiskt har den grundlÀggande versionen blivit som en schweizerost, eftersom ingen verkligen stödde dessa sÀkerhetsfunktioner.
En av de mest anmÀrkningsvÀrda dataintrÄngen frÄn elastic-servern var fallet dÀr 57 miljoner data om amerikanska medborgare gick förlorade, vilket
skrevs om i pressen Faktum Àr att inbrotten fortfarande pÄgÄr och började snart efter att sÀkerhetsfunktionerna sjÀlva avinstallerades av utvecklarna och togs till öppen kÀllkod.
LÀsaren kanske lÀgger mÀrke till: "Jaha, och vad dÄ? De har sÀkerhetsproblem, men vem har inte?"
Men nu, uppmÀrksamhet.
Och nu, uppmÀrksamhet.
FrÄgan Àr att fram till denna mÄndag tog Elastic med gott samvete betalt av kunder för ett verkningslöst verktyg som kallas sÀkerhetsfunktioner, som de sjÀlva slÀppte som öppen kÀllkod redan i februari 2018, det vill sÀga för cirka 15 mÄnader sedan. Utan att bÀra nÄgra betydande kostnader för att underhÄlla dessa funktioner, fortsatte företaget att ta betalt av gold- och premiumprenumeranter inom företagssegmentet.
Vid nÄgot tillfÀlle blev sÀkerhetsproblemen sÄ giftiga för företaget, och klagomÄlen frÄn kunder sÄ hotande, att girigheten hamnade i skymundan. Men istÀllet för att Äteruppta utvecklingen och "laga" hÄlen i sitt eget projekt, som ledde till att miljoner dokument och personuppgifter lÀckte ut, kastade Elastic ut sÀkerhetsfunktionerna i den gratisversion av elasticsearch. Och presenterar detta som en stor vÀlgörenhet och ett bidrag till open source.
I skenet av sĂ„dana "effektiva" lösningar framstĂ„r den andra delen av blogginlĂ€gget som vĂ„r anledning att fokusera pĂ„ denna historia. Det handlar om â den officiella operatören för Kubernetes för Elasticsearch och Kibana.
Utvecklarna med ett allvarligt uttryck pÄ ansiktet sÀger att belastningen pÄ administratörer av dessa lösningar kommer att minskas pÄ grund av att sÀkerhetsfunktionerna har flyttats till den grundlÀggande gratisversionen av elasticsearch. Och överlag, allt Àr toppen.
"Vi kan garantera att alla kluster som körs och hanteras av ECK kommer att vara skyddade som standard frÄn start, utan extra belastning pÄ administratörerna," stÄr det i den officiella bloggen.
Som en övergiven och i praktiken osupportad lösning, som under det senaste Äret har blivit en vanlig slagpÄse, döljer utvecklarna hur anvÀndarna verkligen ska skyddas.
KĂ€lla: habr.com
