Kubernetes’te parolalar, jetonlar ve sertifikalar Secret nesnelerinde tutulur ve kümenin durumu etcd adlı anahtar-değer veritabanında saklanır. Kubernetes sırlarının şifrelenmesi, bu Secret’ların etcd’ye yazılırken şifrelenmesini sağlayarak, veritabanı dosyasına veya yedeğine erişen birinin sırları düz metin olarak okumasını engelleyen düzenlemedir.

Kubernetes Secret’ı varsayılanda şifreli değil, yalnızca base64 ile kodlanmıştır; bu bir gizleme değil, biçim dönüşümüdür ve saniyeler içinde geri çözülür.

Varsayılan Neden Yetersiz?

Yaygın bir yanılgı, Secret’ların base64 kodlaması nedeniyle korunduğu sanısıdır. Base64 herhangi bir anahtar gerektirmeden geri çözülebildiğinden hiçbir gizlilik sağlamaz. Dinlenme halinde şifreleme açıkça yapılandırılmadıkça, etcd anlık görüntüsünü ele geçiren, bir yedeğe ulaşan veya disk düzeyinde erişim kazanan bir saldırgan tüm sırları okuyabilir. Bu yüzden şifreleme, kümenin genel bulut güvenlik duruşu yönetimi kontrollerinde açıkça doğrulanması gereken bir maddedir.

Anahtar Nerede Durur?

Şifrelemenin gücü, veriyi şifreleyen anahtarın nerede tutulduğuna bağlıdır. Anahtar aynı düğümde düz metin bir yapılandırma dosyasında saklanırsa, diske erişen saldırgan hem şifreli veriye hem de anahtara ulaşır ve koruma anlamsızlaşır. Sağlam kurulumda şifreleme anahtarı, bir bulutta anahtar yönetimi servisinde tutulur ve küme yalnızca ihtiyaç anında bu servise başvurur; ana anahtar hiçbir zaman düğüm diskine düşmez.

Zarf Şifreleme Modeli

Ölçekli ve doğru kurulum genellikle katmanlı bir yöntem izler. Zarf şifreleme modelinde her veri, yerel bir veri şifreleme anahtarıyla şifrelenir; bu veri anahtarının kendisi ise KMS’teki bir ana anahtarla şifrelenip veriyle birlikte saklanır. Böylece her Secret için KMS’e ayrı çağrı yapılmaz, ama ana anahtar hiç açığa çıkmaz. Ana anahtar döndürüldüğünde tüm veriyi yeniden şifrelemek yerine yalnızca veri anahtarları yeniden sarılır.

• etcd için dinlenme halinde şifrelemeyi açıkça yapılandırın; base64’e güvenmeyin.
• Şifreleme ana anahtarını KMS gibi harici bir serviste tutun, düğüm diskinde tutmayın.
• Zarf şifreleme ile veri ve ana anahtarları katmanlı ayırın.
• Anahtar döndürme takvimi kurun ve mevcut Secret’ların yeniden şifrelendiğini doğrulayın.

Şifreleme açıldıktan sonra bile eskiden düz kaydedilmiş Secret’lar otomatik dönüşmez; şifrelemenin yürürlüğe girmesi için mevcut Secret’ların bir kez yeniden yazılması gerekir. Bu ayrıntı atlandığında koruma yalnızca yeni sırlar için geçerli kalır.

Anahtar Yaşam Döngüsü ve Kurumsal Değer

Şifrelemenin sürdürülebilir olması, anahtarların düzenli döndürülmesine ve şifreleme anahtarı yaşam döngüsü‘nün belgeli biçimde yönetilmesine bağlıdır. Privia Security, küme sırlarının gerçekten dinlenme halinde şifrelenip şifrelenmediğini, anahtarların nerede tutulduğunu ve döndürme sürecini bir altyapı ve mimari gözden geçirme kapsamında değerlendirir.