Sono super entusiasta di parlare con te di
Walt e solo prima di arrivare
ha iniziato quante persone qui hanno sentito
di Walt prima
va bene un numero discreto quante persone lavorano
in un certo tipo di campo relativo alla sicurezza
compresa l’ingegneria del software tirare così
non dimenticare di impegnarsi e valutare questo
sessione e fare domande sul go-to
app quindi sono io
il mio nome è Seth Fargo Sono un software
ingegnere e open source hanno sostenuto Hashi
Corp così tante persone hanno sentito parlare di Hoshi
tribunale prima che sia freddo quindi questo è il nostro logo se
non hai mai sentito parlare di noi prima o visto
quello che abbiamo fatto prima, ma potresti essere
familiarità con alcune delle open-source
progetti che rendiamo vagabondi
Packer surf console terraform e più
recentemente volt così vagabondo è un
strumento di automazione dell’ambiente di sviluppo
Packer è un’automazione dell’ambiente di costruzione
protocolli di pettegolezzi di basso livello sulla superficie degli strumenti
scoperta del servizio di console e
orchestrazione terraform è provisioning
infrastrutture e poi volta è
gestendo i segreti sia su un piccolo che su
su larga scala quindi parliamo di segreti
gestione e voglio parlare
gestione segreta pre volt così per il
avanti diciamo 10 minuti facciamolo
Supponiamo che il caveau non esista e che questo
sei mesi fa prima che esistesse il caveau
quello che è un segreto penso che questo sia
diverso per ogni persona come cosa
consideri le informazioni segrete che penso
ci sono alcune risposte davvero ovvie come
password del database ma poi ci sono
cose che consideriamo sensibili
non sono necessariamente segreti, quindi lo farebbero
consideri qualcosa come un cliente
numero di telefono un pezzo segreto di
informazione probabilmente no ma è così
sensibile
potrebbe causare danni personali a questo
cliente se tale informazione è fatta
disponibile quindi diamo un’occhiata ad alcuni esempi
quando parliamo di dati segreti che abbiamo
alcune cose molto ovvie come il database
credenziali SSL CA certifica la tua conoscenza
Chiavi di accesso AWS
chiavi di crittografia anche le cose meno ovvie
come la password o la fonte Wi-Fi
controllo e facciamo un ottimo lavoro
mantenendo quei segreti li abbiamo messi sotto
lucchetto e chiave li condividiamo solo con
le persone che hanno bisogno di avere accesso ai
loro ma sui lanci li abbiamo sensibili
informazioni che tradizionalmente sono nostre
l’industria non ha protetto molto bene
cose come numeri di telefono di tua madre
nome da nubile perché è così importante
beh questa è la sicurezza numero uno
domanda negli indirizzi email del mondo
che tradizionalmente conserviamo in piano
testo in modo che possiamo riprenderli
e inviare un po ‘di e-mail di marketing il
il reparto marketing piace davvero
avere queste e-mail a loro disposizione
cose come le nostre sedi di data center
non sembra che tu sappia troppo terribile
avere il data center oh sì, ci siamo
conosci il nostro cliente personalmente
informazioni identificabili quindi cose simili
indirizzi domestici numeri di telefono
identifica in modo univoco un cliente
forse cose come e- mail e chattare nostre
allentare le nostre comunicazioni interne come
bene ci assicuriamo quelli e tanto più come
bene li proteggiamo il mio portatile è
seduto laggiù ha sbloccato qualcuno
potrebbe salire premere il tasto Esc e
quanto sarebbe difficile per loro
accedi alla mia email aziendale o alla mia azienda
chattare sai che abbiamo visto incidenti dove
Gli iPhone sono stati lasciati alle sbarre e così via
è successo per essere la nuova versione del
iPhone e che costano aziende come
Apple ha un sacco di soldi a causa del troppo
presto di una versione quindi dobbiamo fare a
conservare meglio il lavoro di informazioni sensibili
così penso che come industria siamo
davvero bravo in questo abbiamo qualcosa di carino
soluzioni decenti attorno allo spirito
gestione quando si tratta di ciò che noi
tradizionalmente uso un segreto ma io
penso che sia un settore che o inconsapevole
del modo in cui trattiamo la sensibilità I
pensa di avere una definizione diversa e
Penso che questo sia davvero casa per un numero
di persone non importa se il
i dati sono
o sensibile considero un pezzo di
informazioni segrete se lo rilasciassero
causare a colpire le notizie in qualche tipo di
modo negativo e credo che uno dei
i primi esempi di ciò sono di recente
come Ashley Madison
quindi ovviamente Ashley Madison ne aveva alcuni
problemi segreti hanno fatto il loro database
attaccanti accessibili sono stati in grado di ottenere
accesso a tale database e di conseguenza
avevano un dump del database che è
ovviamente sei andato perfettamente comunque
le informazioni in quel database erano
sensibili i nomi e il contatto
informazioni delle persone che sono
interessati ad avere una relazione era tutto
appena memorizzato in testo normale e penso
i nostri sistemi sono progettati in questo modo a
un po ‘oggi penso più aziendale
le imprese assomigliano a questo
avere questo firewall esterno gigante che
ha forse qualche cancello di sicurezza, ma una volta
sei dentro il sai il
zona demilitarizzata una volta dentro
il forte militare non ne abbiamo molti
controlli sicuri di chi può accedere a cosa
è un po ‘ come quando sei nel
centro dati ci fidiamo di tutto il traffico
e una volta che assumiamo che tutto viene
dall’applicazione e penso che abbiamo bisogno
progettare i nostri data center un po ‘
più come questo in cui ogni individuo
il componente non è solo circondato da questo
firewall esterno gigante o serie di
firewall ma che ogni componente è
facendo convalida ogni componente dice
okay, mi fido delle informazioni che sei
dando a me e ho fiducia che posso
scambiare informazioni con te e questo è
tipo di ciò su cui è stato costruito SSL è stato questo
modello di fiducia quindi parliamo di segreto
gestione uno sottolinea così abbiamo
questi segreti come le credenziali del database
come li mettiamo in un’applicazione
quindi tradizionalmente la risposta c’è
sei stato o hard-code loro o te
usa qualcosa come la configurazione
gestione per deporle in fase di esecuzione
ma ancora più importante come fanno gli umani
acquisire quei segreti così hai
operatori e ingegneri applicativi e
hanno bisogno di avere accesso a quei segreti
in modo che possano fare il loro lavoro potrebbero
bisogno di scavare nella produzione
banca dati che potrebbero avere bisogno di essere l’inoltro
qualcosa
– magari riprodurre un bug in modo che loro
può risolvere il problema sul software e come farlo
invalida questi segreti così come fanno loro
si aggiorna così se ti passo il
password del database per quanto tempo è così buono
perché è buono fino a quando non ruotiamo il
password del database quali sono le politiche
attorno alla rotazione della password del database
che viene a domande che è quando noi
ruotare la password del database come facciamo
assicurati che gli umani e il
le applicazioni hanno la nuova versione e
che sono ancora autorizzati a
comunicare con quel database è a
problema molto insoluto in questo momento
e infine diciamo qualcosa
lascia la compagnia c’è un malintenzionato
attaccare come facciamo tutti quegli spiriti come
ci assicuriamo che anche se il nostro
le credenziali del database sono trapelate che abbiamo
l’opportunità di chiudere tutto
prima che il dump del database possa essere acquisito
quindi questa è la tradizionale gestione segreta
basta codificarlo nella configurazione
forse stai usando le variabili di sviluppo
se stai facendo come un’app 12 factor ma
anche allora se qualcuno ottiene l’accesso al
sistema possono semplicemente scaricare il
ambiente quindi perché non è la configurazione
gestione una buona soluzione per la caduta
dai segreti bene penso prima e soprattutto
importante è memorizzato centralmente quindi se
stai usando qualcosa come lo chef o
burattino o ansible o sale se lo sei
usando come il loro server Edition così tutto
dei tuoi segreti sono memorizzati nello chef
server o se stai usando solo il
freemium e dove tutti i vostri segreti sono
memorizzato su qualcosa come git o SCM così
stai controllando i segreti in un sistema
quello non era in realtà progettato per essere
segreto quindi cose come lo chef criptato
i sacchi di dati hanno vulnerabilità note e
per esempio la comunità è arrivata
con alternative a causa della tua
vulnerabilità reciproca, quindi è così
provato che non sono una grande soluzione
per la memorizzazione di segreti o così il
procedure di autenticazione con chi può
si collega al server dello chef connettersi con
anche il server fantoccio non è al 100%
sicuro quindi è possibile per un ladro
client per unirsi a un cluster e potenzialmente
ottenere l’accesso ai segreti che non dovrebbe
avere accesso solo fingendo di essere
parte del cluster
scrivendo i segreti di un file e
poi li legge direttamente dal disco
alla fine è coerente
quindi se stai facendo da cuoco o da fantoccio
qualche tipo di intervallo ci vuole 15
minuti 30 minuti fino a che a
il cambiamento di convergenza è avvenuto così
significa se in questo momento hai un database
violazione e hai bisogno di cambiare completamente
tutte le password del tuo database e
ruota tutto ciò che devi aspettare 15 a
20 minuti o 30 minuti o devi
forzare un’esecuzione di gestione della configurazione
attraverso tutto il tuo orologio e questo
pone molti problemi se ne hai uno
numero di server, ad esempio potresti
si sta introducendo un tuono sentito
problema che potresti non convergere
e ad un certo punto la tua domanda è
sta per comunicare con il male
credenziali del database fino a quel momento
la convergenza accade non c’è accesso
controlli o pochissimi controlli di accesso
ma ancora più importante non c’è auditing
intorno a quei controlli di accesso quindi chi
accesso al segreto perché l’hanno acceduto
quanto tempo hanno acceduto ciò che ha fatto
lo usano per queste sono tutte domande
che abbiamo chiesto e quando parliamo di I
sappiamo che siamo in pista ma quando lo facciamo
parlare di qualcuno di robusto ha detto
qualcosa due giorni fa davvero
colpito con me, che non sei mai
sarà davvero in grado di prevenire tutto
di questi attacchi il valore è quello
vuoi renderlo così difficile
le persone scelgono un diverso e
percorso alternativo che gli hacker a
qualcosa di diverso perché tu l’hai fatto
è così difficile per loro inciderti
tecnologicamente quindi faranno ricorso a
qualcosa come un’ingegneria sociale
attacca invece quando ciò accade
controllo e controllo degli accessi sono super
importante è molto importante che
sei in grado di monitorare tutto questo perché
in caso di vulnerabilità della sicurezza
l’ultima cosa che vuoi avere
un comunicato stampa è che non sappiamo cosa
successo è molto meglio uscire
e dire qui è dove la nostra vulnerabilità
è stato qui come testiamo ecco come noi
mitigato e infine non c’è
supporto per la revoca quindi se si elimina
lo chef ha crittografato la borsa dei dati o lo sai
Rimuovere il fantoccio manifestare tutti
le macchine che sono state approvvigionate
hai già accesso a quello che vede
storico Armin non c’è modo di revocare
che quindi perché non qualcosa come un online
la data di esso ti dà il controllo di quelli
tipi di cose che non sono progettati così
a Hasek harp crediamo nell’UNIX
filosofia che è fare una cosa e fare
davvero bene
e non ti aspetteresti mai che io possa creare
un file per te e ci piace prenderlo
stesso
con i nostri strumenti e cose come post
grafici e console progettati per essere un
motore di archiviazione segreto o se lo fanno
quegli attori sono avversari molto diversi
codice in genere sono memorizzati in chiaro
testo di un numero di questi hanno l’abilità
essere crittografati ma non lo sono
crittografato per impostazione predefinita in modo che significa che
se li stai usando per l’archiviazione segreta
devi andare al di sopra e al di là con il
impostazione tradizionale solo per ottenere l’aggiunta
livello di sicurezza di cui hai bisogno e poi
infine, pochissimi di loro hanno qualche tipo
di auditing o capacità di revoca
costruito nel devi costruire personalizzato
Estensioni di Postgres che devi scrivere
suonare una console circolare per farlo
possibile quindi un’altra domanda è come fare
gestiamo lo sprawl segreto in cui si trova
una grande organizzazione parliamo di umano
gli esseri umani
operatori che hanno sviluppatori e macchine
griglie di accesso come trattiamo il
fatto che ci sono segreti ovunque e
soprattutto cosa facciamo nel
evento di un compromesso qual è la nostra pausa
procedura di vetro quindi vediamo alcuni anomali
registra e pensa che qualcuno potrebbe aver guadagnato
accesso non autorizzato a uno dei nostri
sistemi cosa facciamo ciò che fa
procedura di vetro rotto e la maggior parte
importante come fa a rompere il vetro
la procedura influisce sul resto del nostro
applicazione il resto del nostro ambiente
loro prenderanno giù la produzione sono
siamo in grado di recuperare rapidamente e molto
i sistemi esistenti non possono rispondere a questo
domanda che non conoscono l’attacco
superficie non sanno chi sta accedendo
un segreto quindi è difficile avere un
procedura di vetro rotto quindi se parliamo
sullo stato del mondo pre-predefinito
abbiamo un sacco di sprawl segreto che ha
le chiavi perché hanno loro quello che sono
usandoli per con pochissimo controllo
o visibilità abbiamo questi
memorizzazione delle chiavi decentralizzata e
potenzialmente più sistemi e infine
abbiamo il questo grado poco definiti
la procedura di classe e in sicurezza è
tipo di terribile dirlo ma tu hai
ottimizzare per lo scenario peggiore
è un campo in cui la cosa che può
capita sempre accadrà meglio
ottimizzare per quegli scenari come il
procedure di interruzione della perdita quindi parliamo
sulla gestione segreta per sottolineare noi
erano davvero consapevoli di molti di questi
i problemi erano problemi che stavamo affrontando
internamente quindi manteniamo un
l’applicazione chiamata Atlas chiunque abbia sentito
su quello che è bello
così Atlas il modo in cui Atlas lavora è quello che hai
per darci le tue credenziali cloud è
piuttosto spaventoso
proprio come faremo il provisioning tuo
infrastruttura e gestisci il tuo
infrastruttura per te ma come risultato
dovete darci il vostro orologio
credenziali che significa che dobbiamo
crea un sistema che ti puoi fidare di noi
abbastanza da darci il tuo file GCE o
dacci le tue chiavi di accesso AWS e basta
una build affidabile e difficile, invece di
costruendo alcuni complessi Postgres
estensioni e blog su di esso noi
ho deciso di creare uno strumento e l’abbiamo fatto
strumento dopo aver parlato con un numero di
clienti e ci siamo resi conto che praticamente
molti hanno problemi molto simili
stanno solo pensando a loro in
modi diversi , quindi abbiamo creato una lista
degli obiettivi il primo obiettivo era volt necessario
essere l’ unica fonte di verità per
segreti e volt potrebbero essere sostenuti da
un altro motore di archiviazione che potresti essere
familiare con qualcosa come Postgres o
console ma la volta stessa doveva essere
il punto di ingresso per i soffitti che dobbiamo
avere accesso programmatico alle applicazioni così
strumenti come lo chef e il burattino dovevano essere
in grado di accedere a questi segreti tramite alcuni
tipo di autenticazione che verifica l’accesso
a loro, ma l’ intero processo deve essere
automatizzato non possiamo avere il manuale
figurazione nel mondo moderno
non scala abbiamo bisogno anche di avere
l’accesso manuale però è necessario per gli operatori
essere in grado di entrare e ottenere un tipico
protocollo o ottenere una chiave di accesso API loro
può riprodurre un attacco o così può farlo
potenzialmente eseguire il debug di alcuni tipi di problemi in
la produzione inoltre non è elencata
qui ma gli sviluppatori potrebbero aver bisogno di accesso
ma potrebbero aver bisogno di un livello diverso di
accesso in modo che gli operatori possano avere un pieno
vista aperta di tutto tranne gli sviluppatori
può tutti accedere così qui è nel
organizzazione doveva essere pratica e
questo era veramente aperto ma che cosa
davvero ridotto a quello che doveva
lavorare fuori dalla scatola un sacco di
esistevano i sistemi di gestione segreti esistenti
scatole nere li hai schierati e questo
è quello che potresti fare ed è stato molto
molto un punto di ingresso e avevi finito
e da ciò derivò il fatto che esso
doveva essere open source ed essere aperto
fonte offre due vantaggi dapprima
significa che puoi immergerti nel codice
adesso e tu potresti dare un’occhiata e
puoi trovare qualsiasi sicurezza
vulnerabilità che potresti volere e
puoi valutare la maggior parte delle altre misure di sicurezza
gli strumenti non sono open-source e non lo faranno
fornirti la valutazione della sicurezza
se uno è stato fatto la seconda cosa che
uscito dalla sicurezza pratica è stato il
esperienza utente quindi ci dedichiamo molto tempo
e sforzo nello strumento per essere sicuro
che è facile da usare , ma
scala a centinaia di migliaia di
dispositivi o server che accedono ai segreti e
infine doveva essere un moderno data center
amichevole o come il termine che ho avuto
sentito gettato in giro un numero di volte
ecco che doveva essere una nuvola pronta
o un’applicazione cloud ready quindi cosa sono
alcune delle caratteristiche di volta Vault è un
meccanismo di archiviazione segreto sicuro e tu
può usare nella memoria di cui possiamo parlare
su un po ‘di console puoi usare a
file system basato Postgres e siamo
L’aggiunta di più e più della comunità è
interessato a più e più c’è un
zookeeper back-end ora anche una cosa
quello separa realmente il vault dal
interessanti strumenti di gestione segreti
che abbiamo questa nozione di dinamica
segreti così quando tradizionalmente pensi
su una memoria di un motore di archiviazione segreto
si mette in segreti e li tira fuori
si pensa che era qualcosa come LastPass
un operatore per passare un tipo di operatore
alcuni segreti o copia e incolla da a
modulo web e lo mettono sotto questo
tipo di database cosa poi quando vogliono
per recuperarlo ci sono le mele intorno
hanno messo la password in quello è il padrone
password e ottengono i dati da noi
non pensavo che fosse sostenibile così noi
ha preso un approccio diverso , così vault
la capacità di creare e dinamicamente
distribuisci segreti e mostrerò una demo
di questo qui in un po ‘ma
fondamentalmente con Vault puoi puntare il vault
su un server Postgres fornisci radice alt
accesso al tuo database Postgres e a te
diglielo quando qualcuno legge
questo endpoint con un token autorizzato
dare loro credenziali e quelli
le credenziali hanno una scadenza che hanno
un intervallo di rinnovo simile a un TTL
e possono essere revocati in qualsiasi momento e
possono essere revocati su un prefisso in qualsiasi
tempo quindi ciò significa che l’ operatore è
non dovrò più lavorare entrerà a
Il segreto segreto può farlo per loro
infatti le applicazioni stesse possono
richiedere credenziali di database univoche così
se immagini che stai usando un Python
applicazione di applicazioni o binari
cinquecento server ciascuno di questi 500
i server possono richiedere un database in modo univoco
credenziali e nel caso di a
compromesso non solo hai il
auditing e Ackles sul posto ma tu
avere la possibilità di tornare indietro e scoprirlo
esattamente quale server è stato compromesso
in base alle credenziali che sono state utilizzate
avevamo bisogno di un supporto integrato per le cose
come il rinnovo del leasing e la revoca come
così come la rotazione delle chiavi che è stata recentemente
aggiunto che avevamo bisogno dell’auditing nel
Spiegazione della MRP applicabile e infine e
la cosa più importante è che abbiamo bisogno del
capacità di lavorare con tutto così
inizialmente abbiamo visto qualcosa come gr
PC se vieni dal PC M si va
protocollo per la comunicazione tra processi
e alla fine ci siamo stabiliti su un
API HTTP e il motivo per cui è pari
sebbene HTTP un ragazzo sia per tradizione
più lentamente l’area riposante è un po ‘
esagerato al momento strumenti moderni e
praticamente tutte le lingue funzionano
un certo tipo di API HTTP in effetti alla fine
del giorno puoi sempre ricorrere al ricciolo
per ottenere i segreti dal caveau e tu puoi
ottenere queste informazioni e JSON e
canalizzalo su qualcosa come JQ ma anche noi
avere un supporto di prima classe per cose come
Ruby, quindi abbiamo il client trooper muro
c’è un client node.js un client Python
il cliente ufficiale va e c’è un
anche il cliente ferroviario e la comunità
lavorando su sempre di più per
il flusso POSIX abbiamo costruito il pinna
ambiente abbiamo avuto un modo civile per ottenere
segreti quindi abbiamo scelto un’API HTTP per questo
per quanto riguarda lo stoccaggio segreto
i dati sono crittografati durante il transito e tutti
invia cose al caveau che è criptato
ed è criptato su disco o in memoria
ecc. Tutto ciò che viene richiesto è 256 AES GCM
TLS 1.2 quindi nessun SSL v3 se si tenta di
comunicare con Vault non lo è
downgrade il tuo protocollo SSL sarà solo
respingi la tua richiesta e poi non c’è
HSM richiesto e questo è sia un positivo
e un negativo e molte persone hanno
questa nozione che HSM sono come il
futuro e aggiungono un sacco di
entropia abbiamo scoperto che è in realtà
non è vero alla fine della giornata si ottiene di più
un ottimo algoritmo software
al contrario di un HSM che aggiunge molto
poco se qualsiasi entropia di un sistema
l’entropia è importante in segreto
generazione quindi non abbiamo ancora il supporto
per HSM aggiungeremo supporto per
HSM perché il numero di clienti
ho chiesto ciò che abbiamo trovato è quello
nel mostrarli sulla mappa che abbiamo fatto
di solito cambiano idea perché
il software per scoprire il ritmo può realmente
avere più entropia in modo da avere diapositive
caso il mio demo non ha funzionato, ma lo farò
passare alla modalità demo si può girare che off
così invece di passare attraverso a
un sacco di diapositive statiche che io
ti mostrerei solo falso e
quindi quello che ho fatto qui è che ho un po ‘ di
preparato un piccolo script per impostare il vault
per me questo è solo un Astra
che sono felice di mostrarvi quindi questo è
solo uno script batch che è fondamentalmente
avviare il vault e creare un intero
un sacco di backend per me così puoi vedere
che è stato configurato il back-end AWS
il Postgres arretra il transito
back-end, ecc., quindi quello che voglio mostrarti
è il caso d’uso del vault di base quindi sono
dirò a Walt dove vivo o dove
il server del vault vive e ora posso
controlla il caveau
quindi ass Turchia e poi puoi creare
i possessori di chiavi usano una condivisione segreta di Shamir
quindi questo elimina l’ intera persona
ha accesso a tutto così nell’evento
di un compromesso puoi sigillare il caveau
e richiede un quorum di detentori di chiavi
che sono impostati ogni volta che vault
configurato per annullare la chiusura del deposito per
esempio a Haji carb ce ne sono cinque
persone che hanno le chiavi e mi piace usare
l’analogia se hai mai visto come a
film in cui le persone catturano il presidente
e come tre persone devono piacere il tipo
nei loro codici di accesso
disarmare la bomba nucleare che è in realtà
come funziona il vault è molto simile
come cinque persone hanno codici di accesso e
tre persone hanno bisogno di inserirle
per smobilitare il caveau
e tutto ciò è configurabile all’avvio
tempo puoi avere un centinaio di chiavi con
due persone che hanno bisogno di disfare o puoi
avere una chiave con una persona che ha bisogno
per unseal ma consigliamo vivamente a
numero più alto di uno e uno I
non è possibile sigillare il caveau in questo momento e
poi disvela ma non voglio farlo
che invece voglio mostrarti come
scrivendo al back-end generico così da
di default senza montare niente volta
si comporta in modo molto simile a qualcosa di simile
LastPass o una password in modo da avere il
capacità di scrivere e in realtà
basta postare il comando con la ragazza, il rubinetto
non con ma come arricciare sotto il cappuccio I
posso scrivere i due segreti e poi
poi sopra un segreto quindi in questo caso lo farò
scrivere a foo e posso dire dati così tutti
di tutti i dati che vengono scritti
al negozio segreto è in una chiave uguale
formato di valore e poi arriverò davvero
indietro come JSON quindi se l’ho fatto bene io
ha fatto la data in cui è stato scritto e il
il modo in cui posso recuperare quei dati è il
l’esatto opposto e puoi vedere che otteniamo a
un po ‘più informazioni indietro di noi
fatto quando abbiamo scritto i dati così otteniamo
questa durata del contratto di locazione ID e se
il contratto di locazione è rinnovabile o di cui non si parla
rinnovabile e un po ‘perché lo sarà
ha più senso in un contesto diverso
l’ID del leasing e la durata del leasing
identificare in modo univoco questo contratto di locazione così
abbiamo la possibilità di revocarlo
segreto senza conoscerlo veramente
contenuto quindi questo significa che possiamo
archiviare in modo sicuro l’ UUID da qualche altra parte
e nel caso di un compromesso possiamo
revocare quell’UID e il vault lo sapremo
che segreto mappa per cui non abbiamo
per sapere esattamente che il segreto è chiamato
foo tutti abbiamo bisogno di sapere è l’UID del
possibilità di produrre questo come JSON che è
super utile per cose come l’automazione
e molte delle sceneggiature che farò
ti mostro qui oggi io uso uno strumento chiamato
JQ che mi permetterà di piacere a tirare il
ad esempio, i dati su zip e così via
è un modo davvero semplice per
i dati di tutti i dati messi nel vault
puoi scrivere non puoi scrivere file ma
puoi scrivere da un file quindi se lo hai
un gruppo di K equivale a coppie di valori in a
file è possibile utilizzare il segno e il vault dell’app
leggerà ognuno di loro e creerà il
valore fuori di così che è il generico
backend si comporta in modo molto simile a
una password ti basta dare una password
ad una particolare chiave e poi ottieni
gli attributi tornano alla moda così il prossimo
cosa che vorrei mostrare è la
endpoint di transito quindi quante persone ci sono
familiare con km di Amazon va bene così
l’endpoint di transito si comporta in modo molto simile
per i chilometri di Amazon la nozione è quella volta
sta per mantenere questa chiave di crittografia
quindi questo è il luogo in cui vault
servizio di crittografia e questo è super
utile per cose come le applicazioni web
o le applicazioni client tradizionalmente
la tua applicazione web ha bisogno di conoscere il
chiave di crittografia in modo da avere sensibili
informazioni forse è una carta di credito
numero anche qualcosa come un telefono
numero che si desidera crittografare in
database ma tu vuoi memorizzarlo
chiave di crittografia offline che non vuoi
la tua applicazione web con accesso a
le chiavi di crittografia perché se qualcuno
compromette il database o il web
applicazione hanno tutto su uno
vuoi rendere l’attacco in superficie come
distribuito il più possibile in modo che multiplo
sistemi devono essere compromessa per
per avere effettivamente un attacco di successo
vault fornisce questa crittografia come a
servizio e il modo in cui lo fa
attraverso il back-end di transito è così vault
andando a creare una chiave di crittografia per noi
e quindi tutto ciò che facciamo è scrivere i dati su
volta e la loro risposta è il
dati crittografati e quindi li memorizziamo in
il nostro database e in qualsiasi momento vogliamo
accesso ai dati non criptati che scriviamo
con i dati crittografati e vault dà
restituiamo i dati non crittografati
siamo ancora autorizzati a farlo, quindi se
hai un’applicazione che si sta comportando
grosso modo è possibile revocare tali applicazioni
accesso e quando dice hey decifrare il
segreto vault proprio come ora così che cosa
mezzi è le applicazioni devono essere
resiliente a quello e se stai usando
uno dei plugin ufficiali che sono
costruito in resilienza è lì sarà solo
ritorna come il valore vuoto e accedi
eccezione al contrario
– Mi piace spaventare ma te lo mostrerò
l’applicazione che ho costruito oggi
andrà fuori di testa solo per gli scopi di
la demo che ti mostra cosa succede
ogni volta che la chiave è stata revocata, quindi se
diamo un’occhiata al setup di transito che è
piuttosto semplice sto scrivendo a
la demo di crittografia di transito con a
valore in chiaro e poi lo farò
uscita tale valore testo cifrato quindi sono
andrò avanti e gestirlo e tu puoi
vediamo che abbiamo recuperato questo tipo di goggly goop
vault con un prefisso tutto ciò che viene
dal back-end di transito infatti lo farà
prefisso molti dei suoi segreti con un
indicatore che dice hey questo è da
vult e questa è la versione zero del
cifrare la prossima versione di vault 0.3 è
andando a supportare la rotazione delle chiavi in linea così
quella versione del codice è super
importante quindi la prossima versione di Vault
se si desidera ruotare la chiave che il
l’applicazione web direbbe hey vault
decifrare questi dati e se alt direbbe
oh questo sembra il vecchio più sicuro che sono
decifrando lo cifrare nuovamente con il
vecchia chiave e ti restituirò non solo
il valore in chiaro ma il nuovo
valore di testo cifrato che ha il nuovo
algoritmo di crittografia quindi questo significa che tu
può fare la rotazione delle chiavi online senza nessuno
interruzione in effetti il tuo sviluppatore
forse ne ho bisogno, quindi andiamo a dare un’occhiata
a come potrebbe sembrare
qualcosa come un’applicazione di rotaie così io
metti insieme questo piccolo binario
applicazione ieri che memorizza tutto
dei miei amici e della loro carta di credito
numeri non so di te ma io
Mi piace davvero mantenere il merito del mio amico
numeri di carte a portata di mano nel caso io
bisogno di comprare qualcosa su Amazon
okay , non so perché non funziona
ma
gli dei demo non sono con me questo
mattina posso passare a quello successivo
e spero di capire perché questo è
non funziona, ma fondamentalmente quello che ero
andando a mostrare che è quello il
l’applicazione crittograferà i dati e
memorizzerà nel database solo in
memorizza il valore crittografato ma lo siamo
in grado di restituire il valore in testo normale
interrogando l’ errore ma ne ho un altro
dimostrazioni e che possiamo tornare a questo
se c’è tempo e così la prossima cosa che
voglio mostrarti la dinamica attuale
generazione segreta e questo è dove
vault è molto molto diverso da qualsiasi altro
strumento di gestione segreta, quindi prendiamo a
guarda qualcosa come post dei grafici così
qui sto dicendo quello che sto facendo
Postgres hey come voglio che tu mi dai
credenziali ma sto facendo giri veloci
vault così in quello script di installazione che cosa ho fatto
è stato II ha dato accesso al vault
tipo di database è l’ utente root di
Utente Postgres che ha l’equivalente
di sudo e Postgres LAN ciò significa
può creare database creare utenti ecc
e sarebbe dal gancio come percorso
puoi montare più percorsi come sono
andando a tornare è un insieme unico di
credenziali che hanno un certo
scadenza quindi andrò avanti e gestirò questo
solo per mostrarti cosa succede così tu lo farai
notate che siamo tornati, non preoccupatevi
riguardo l’host ma questo è il nome utente
e la password che siamo tornati da
Postgres e poi ho appena collegato con
Postgres quindi questo è in realtà un telecomando
pezzo uguale esempio che è in esecuzione su
ec2 da qualche parte e ho la capacità di
elenca tutti i database e questo utente
in realtà ha solo accesso in sola lettura, quindi noi
impostare il modello in modo che qualsiasi
credenziali che vengono lette da cred
taglia i controlli dell’endpoint di sola lettura
sono di sola lettura, puoi immaginare che questo è un
lo scenario è fantastico per qualcosa di simile
sviluppatori di applicazioni dove vogliono
essere in grado di entrare e fare il debug del
database che vogliono ispezionare alcuni
i valori potenzialmente diagnosticano un problema ma
non vuoi che siano in grado di farlo
tutto ciò che ti danneggia solo te li vuole
essere in grado di leggere i dati con il loro token
potrebbero essere Emily che sarebbero in grado di farlo
generare valori di sola lettura quindi sono giusto
andando a copiare questo qui
lasceremo Postgres così posso leggerlo
qualsiasi numero di volte lo noterà
il valore che stiamo recuperando è
diverso ogni volta quindi se guardi
questa password di username è costantemente
cambiando se sono andato in Postgres a destra
ora e elenco gli utenti che vedremmo a
utente per ciascuno di questi ora dopo che penso
L’ho detto per 15 minuti
ma qualunque sia la durata minima è se
questi segreti non si sono rinnovati
Mi dispiace che sia un giorno 3,600 se loro
non si sono rinnovati in quel momento
frame vault li revocherà quindi cosa
questo significa che la tua applicazione deve
avere intelligenza da dire quasi come un
TTL hey Sto ancora usando questo segreto e
lo fa in un certo intervallo noi
raccomandare meno durata su due così tu
rinnoverei ogni 1.800 secondi in questo
caso invece di 3.600 quindi ogni 1800
secondi hai un lavoro in background
ping vault e dice hey sto ancora usando
questo segreto e quello resetteranno tipo di
il conto alla rovescia se lo farai
segreto se quello ha zero ci sono due modi
che quel segreto è stato revocato prima di tutto
usa un registro di destra in modo anche nel
evento che qualcosa di terribile sarebbe
può accadere il rollback e il
problema del fallimento ma creiamo anche il
Postgres utente con una scadenza quindi quando
il back-end che lo supporta ha il
vault di funzionalità creeremo il
utente con esso se qualcuno è in grado di
completamente sabotato il difetto del Postgres
l’utente stesso viene creato con I’ll show
tu qui la clausola valida fino a quella
il valore di scadenza viene dal caveau è
basato su tale durata di affitto in modo che
significa che anche se vault va completamente
offline potrei completamente abbattere
questa particolare istanza Vault Postgres
scadranno ancora quegli utenti dopo 3600
secondi così abbiamo quel doppio strato di
sicurezza che anche se il vault stesso è
compromessi i segreti possono ancora essere
revocato se il back-end di archiviazione supporta
così per ogni valore che siamo
tornare indietro significa creare un nuovo utente
e se lascio questa corsa per un’ora
quegli utenti saranno tutti vlog
vedrai effettivamente sopra la quercia provocata
e potresti o rughe sono
aver luogo se l’applicazione è
rinnovando quindi penso in modo ovvio
domanda che è come otteniamo questi
segreti su come la nostra applicazione e
hai un paio di modi per poterli usare
qualcosa dritto come arricciare e afferrare
l’output JSON e mettilo su disco o noi
avere uno strumento che è un modello di console
che effettivamente permetterà di aprire up
dal vault direttamente nel filesystem
e puoi cambiare le autorizzazioni su
quei file in modo che solo l’applicazione
puoi leggerli puoi anche tirare le cose
nell’ambiente con altri strumenti
che non sono modelli di console, quindi se io
guarda fondamentalmente questo modello di console
quello che stiamo facendo qui è che stiamo interrogando
vault per la chiave delle password e poi
stiamo prendendo i dati al momento giusto, quindi cosa?
Ho intenzione di fare qui è che devo
in realtà creare questa password così farò
una cassaforte segreta destra vault cosa fare
vogliamo che sia la nostra password da utilizzare
Okay, sto facendo questo per dimostrarlo
tu che questo non è solo un po ‘elaborato
schema che ho pre-registrato così ora se
Corro il punto H del modello , puoi vederlo
in realtà tirando fuori quella password ma
ovviamente è stato molto veloce perché
sta comunicando localmente ma se noi
cambia questa password sarà automaticamente
aggiornamento molto simile al termine del bordo
ciò accade nel modello di Kabul con
concetto e il vantaggio qui è quello
il modello di console lo sta facendo davvero
tale intervallo intergroup di rinnovo del leasing
sullo sfondo per noi così che tu possa
in realtà sostituire questo con qualcosa
piace leggere dai crediti di Postgres
sola lettura, quindi se modifico questo e invece
di leggere da password segrete che potevo
leggi dai crediti Postgres di sola lettura e io
penso sia il nome utente
Immagino la loro chiave ma questo è
in realtà in cerca di nuovi Postgres
credenziali così ogni volta che questo in realtà
chiede un nuovo valore che diventerà nuovo
Potenziali Postgres, ma una volta che ha il
credenziali
li rinnoverà quindi questo significa che il tuo
l’applicazione potrebbe usare qualcosa di simile
modello di console per richiedere segreti
supponendo che abbia l’autorizzazione appropriata
e poi una volta che ha il segreto del genere
qualcosa come modello di console o deposito
Le rotaie del vault di Riviere sarebbero responsabili
per rinnovarlo sullo sfondo e it
ha un supporto integrato per te
non devi preoccuparti della complessità
ci hmm
quindi è fantastico per qualcosa come te
immagina come un’applicazione per rotaie
stai scrivendo il tuo database yamo
depositare in modo da avere la possibilità di
hanno generato dinamicamente dei segreti
senza bisogno dell’applicazione
tutta questa intricata conoscenza di come
caveau funziona basta dare un percorso
leggi da quel percorso e ottieni segreti
indietro così sembra che io valga davvero
al momento quindi non avremo un
possibilità di tornare alla demo del modello
ma lo farò funzionare e twittare
l’URL in modo che tutti possano prendere un
guarda e puoi mettere i tuoi amici
numeri di carta di credito per me se tu
vuole è completamente opzionale Credo
non so se abbiamo tempo per le domande
Martin okay
Wow, abbiamo 20 minuti
bene non ci sono domande nell’app
quindi sono felice di prendere domande sulla vita reale
sì nella parte posteriore qualche produzione a
minuto si intende ripetere che va bene uh
la domanda era questa era impressionante
parla grazie
chi usa la produzione vultan questo è un
domanda difficile a cui rispondere perché a
Molti dei clienti che utilizzano caveau
che sono impressionanti hanno chiesto di non essere
chiamato c’è un coupon molto grande
produttore che ha sede negli Stati Uniti
Stati ci sono un certo numero di finanziari
società di servizi che non menzionerò
ha espresso molto interesse e
Penso che la maggior parte lo stia ora gestendo
in produzione un sacco di
le funzioni zero-punto-tre sono come a
risultato di imprese che lo gestiscono
produzione ovviamente utilizziamo un caveau in
atlanti di produzione tutte le chiavi che
aggiungi ad Atlas sei criptato nel vault
e ho un post sul blog molto dettagliato
su come funziona sull’architettura
sulla foto del punteggio più alto sei
interessato a leggere come il
dettagli tecnici nitty-grintosi di come
quello scambio accade vault è strano
uno così per altri prodotti di origine a
molte persone sono come sì, noi totalmente
usa vagabondo e trovi quando arrivi
nello spazio di sicurezza un sacco di a
molti dei modi in cui le organizzazioni
proteggersi è non dire
ciò che viene detto usando perché è un
potenziale vettore di attacco quindi se lo so
che stai usando LastPass, potrei esserlo
in grado di sfruttare la vulnerabilità
allo stesso modo in cui so se so che lo sei
utilizzando una versione senza patch di SSL aperto I
potrebbe essere in grado di sfruttare le vulnerabilità
quindi sono molto meno aperti a parlare
su chi lo sta usando, posso dirlo
il giorno della pubblicazione ne aveva oltre 2.000
stelle su github e continua a crescere
è uno dei nostri più rapida crescita
progetti open source che abbiamo assunto a
ingegnere a tempo pieno per lavorarci su così è
sicuramente popolare è usato da un numero
di persone di cui non posso davvero parlare
Molti di loro altre domande che ho visto
non era andare avanti
quindi quando parli della dinamica
segreti e cose credo che tu abbia bisogno di me
significa che hai colpito un paio di script lì
non è che ho preso sorta di punto che
perché io – penso che eravamo abbastanza in Sun era
andando avanti così se ho il mio database personale
e voglio amare i segreti dinamici
ovviamente ho un deposito di garanzia
modo di creare nuovi segreti al suo interno
come faccio che sì l’ ho fatto nel
script di installazione ma non sono andato davvero
attraverso di essa per due motivi quindi prima di
è tutto il motivo per cui utilizzo gli script
perché non posso scrivere e parlare al
stessa volta l’ho già fatto e basta
non funziona molto bene, quindi è molto
più facile per me solo al posto tuo
guardandomi digitare 30 volte è così tanto
demo più semplice se ho solo gli script
pre pre compilato ma se andiamo
attraverso questo file qui o lo faccio oh
Non ho mostrato la demo di AWS, quindi puoi
generare dinamicamente le chiavi AWS – ma
ecco dove ho impostato il back- end così
queste linee qui e puoi vedere cosa
stiamo facendo è così montiamo il Postgres
di nuovo dentro e poi gli do la mia connessione
quindi abbiamo un back-end PostgreSQL che
è dove puoi memorizzare i segreti e poi
abbiamo un back-end segreto di PostgreSQL
è così che puoi generare dinamici
i segreti dei post grafici di cui abbiamo parlato
su come rinominarlo ma in realtà è entrambi
quindi puoi usare Postgres per archiviare il vault
dati allo stesso modo in cui è possibile utilizzare il file
sistema o in memoria ma puoi anche usarlo
post stampa e supportiamo il mio sequel
Uncas per generare dinamicamente dei segreti
usando un caveau
quindi dai al caveau il tipo di chiavi
il regno e tu dici ehi gestisci
Le credenziali di Postgres per me e tu dici
vault come farlo così come se tu vada
a questa istanza RDS è possibile accedere con
il nome utente vault e la password è
password del vault, ovviamente molto sicura e
come se avessi configurato tutto questo per te
e poi dici a Volt come creare
gli utenti per cui stai dicendo la palla
il punto di sola lettura quindi quando qualcuno
legge da sola lettura che voglio creare
loro un utente e quindi li concedo solo loro
selezionare
su tutte le tabelle nello schema pubblico così
stiamo facendo loro di scegliere, invece di
la possibilità di modificare tabelle e questo è
come cartolina specifica
giusto quindi la domanda è questo modello
deve essere conservato in modo sicuro perché
ha le credenziali di volta in volta
in realtà lo metti in un modello e
l’operatore dovrebbe configurare digitando
qualcosa nel deposito di configurazione
c’è un numero di modi per
Configurare il vault internamente siamo privati
github repo che ha la nostra configurazione
in esso e poi per cose come il post
grafici abbiamo una memoria out-of-band
motore che tira quei dati in I’m at
Tempo di visione dei mietitori ma una volta è così
configurato non è più necessario farlo
e anche se vault è disattivato se
stai usando un back-end persistente così
qualsiasi cosa diversa dalla memoria quando
torna online sa tutto questo
le informazioni sono tutte criptate a riposo
quindi devi solo configurare in una volta così
idealmente non lo metterei mai in realtà
in un modello a meno che non steste facendo
una cosa di recupero di disastro che ho appena fatto
questo modello perché mi guardi digitare
tutta questa roba sarebbe stata
noioso per te e molto imbarazzante per
io posso mostrarti il backend AWS se
siete interessati a quel che è
in realtà super utile per gli sviluppatori
quello che ho è una politica qui se lo sei
ma sì è solo una politica di messaggistica istantanea per
gli sviluppatori quindi quello che sto facendo è nel grafico
Sto forzando l’autenticazione a due fattori così
Sto dicendo che non puoi usare la nostra produzione
infrastruttura a meno che non sia necessario un fattore
spento abilitato piuttosto basico ma puntualissimo
questo permette a qualsiasi cosa su di te se il
lo sviluppatore ti ha eliminato e se io
leggerò lo sviluppatore di credenziali AWS che otterrò
indietro le chiavi di accesso alla vita e quindi questo è un
otto se hai familiarità con AWS che è
un ID della chiave di accesso e una chiave di accesso segreta
e questo ha accesso al mio ec2 personale
o il mio account AWS personale per favore non farlo
vai a Bitcoin mining se hai due fattori
autenticazione abilitata che come il
sviluppatore che li ha effettivamente richiesti
avrebbe bisogno di avere due fattori
autenticazione abilitata o altro
oggetto
la creazione effettiva al livello ec2 così
l’ami è la volontà della politica
in realtà rifiuta la creazione a meno che l’utente
utilizzando queste credenziali ha il
l’autenticazione a due fattori è qualcosa
potresti usare come un sistema
le risorse caricate potrebbero essere come un CI
server che compila il tuo JavaScript e
lo carica in qualche secchio su s3 tu
potrebbe avere quel sistema in modo dinamico
segreti dall’endpoint patrimoniale e dal
unica cosa che si cambia c’è
invece di leggere dallo sviluppatore di creds
leggi dalle risorse creds che ottieni
credenziali diverse indietro e queste
le credenziali di un posto scadono in un’ora
se non sono recensiti, quindi non lo faccio nemmeno io
devono andare a eliminarli, non solo scadono
e quando scadono lo faranno
automaticamente essere rimosso per me di essere
eccezionale
Zia furball altre domande
tu?
sì così una cosa che non ho mostrato perché
è davvero complicato e ti presume
avere una profonda conoscenza di come PKI
works is vault può effettivamente funzionare come CA.
quindi se fornisci al vault un certificato CA.
persone o computer possono richiedere
certificati da vault e non solo can
lo usano per autenticarsi con ma
immagini che la maggior parte delle organizzazioni abbia
per distribuire certificati SSL su
macchine client se stanno facendo
terminazione su qualcosa di diverso da come
un bilanciamento del carico e ottenere quello
informazioni da Vault come CA.
in realtà super utile lo facciamo
internamente puoi anche inserire Kate con
vault utilizzando un certificato e così è
il rovescio della medaglia delle cose così in aggiunta
essere in grado di generare certificati
e poi scrivi quelli su disco che puoi
autenticamente autenticato con Vault usando a
certificato con il certificato dei miei clienti
scambiare chiave pubblica privata quei tipi
di cose con cui puoi autenticarti
vault usando github è così il nostro
roba interna funziona così abbiamo persone
che sono in github e solo persone che
sono in squadra sono in grado di avere accesso root
per volgere tutti gli altri ha che è
la tua app per sviluppatori proprio di tutto ciò
significa che sono molto più piccoli e tu
avere il controllo completo sopra le mele che
si imposta in volt e basta dargli
una politica e tu dici che è tutto percorso
basato quindi se non vuoi che gli sviluppatori lo facciano
essere in grado di toccare il back-end AWS è
negato per impostazione predefinita in modo da poterli dare
accesso a un punto particolare e per tanto tempo
come la loro chiave si adatta a quel ruolo
avranno accesso ad esso l’unico
l’eccezione è la chiave di root o la route
comunque è iniziale 5 o 100 o uno
accesso non classificato, tutto è registrato
e controllato, ma di solito è
raccomandato di prendere quella chiave di root
e lo metti su come un drive USB e a
sicuro e poi ti dai come in sospeso
paziente sulla password del nome
autenticazione agli operatori e tu puoi
legarli ancora a una pseudo politica ma
non hanno quella credenziale di root
che è come le chiavi del regno
okay riguardo alla revoca dell’accesso di
potenziale degli anziani la quantità rimanente è
un lavoro di base richiesto e farlo essere
ripristina okay, quindi la domanda è
riguardo al rinnegamento dei segreti è il quorum
richiesto la risposta è no , parlerò
le elezioni dei leader in un secondo sono
richieste ackles sì sì avete
quindi tutto ciò che è coinvolto è un breve quindi il
il percorso è molto specifico così come Postgres
creds read-only devi avere accesso
a uno quell’elemento in modo da poter revocare
un token che sei una chiave che hai
creato in modo da poter revocare qualsiasi cosa io
creato qui mi capita anche di essere registrato
in quanto root to vault in questo momento così io
posso cancellare qualsiasi cosa se sono loggato come
uno sviluppatore posso cancellare cose così
Ho creato e cose che cadono
il mio albero quindi c’è un comando chiamato come
revocare l’albero e loro che lo faranno letteralmente
revocare tutto ciò che hai creato, ma io
non può revocare le chiavi di qualcun altro se non
Sono sopra di loro quindi è molto simile a
come una gerarchia organizzativa in a
in che modo il tuo terzo punto non è stato così una volta
sono cancellati sono cancellati che puoi
generare nuovi e l’idea è che
allo stesso modo che gettiamo via
l’infrastruttura parla di mutabile
infrastruttura che gettiamo via
infrastruttura stiamo iniziando a pensare
sui segreti allo stesso modo che abbiamo
questi segreti generati dinamicamente e
non ci interessa davvero quale sia il database
la password è valida finché è valida
accidentalmente ti revochi una chiave solo tu
reauthorize l’accesso e il
l’applicazione genererà appena nuovo
credenziali e tu sei come a posto
qualunque sia la nuova password, io no
cura che quelle password abbiano un livello molto alto
grado di entropia per quanto riguarda il quorum
richiesto e così vault sosterrà hae
modalità o stai parlando del quorum
su persone o quorum sui computer
okay, nessun quorum di persone non lo è
coinvolto l’unica volta in cui è stato raggiunto un quorum di
le persone sono coinvolte quando è il vault
qualificato
prende qualunque sia la soglia chiave
per sbloccare il vault fino al quorum
va con un inseguimento di tutto ciò che supporta
a che ma deve essere supportato da a
back-end che supporta l’elezione del leader
così console zookeeper penso che siano i
solo due che possono fare un che
ed è un essere molto primitivo che siamo
andando a migliorarlo in futuro
ma non hai bisogno di un quorum per farlo
qualsiasi cosa così uno di loro è eletto a
leader che i seguaci inoltreranno
richieste al caposaldo 0-3 lo faremo
avere alcune richieste di lettura che il
il follower risponderà a prendere
il carico dal leader ma scrivi
richiesta cadere al leader se
il leader va giù sai qualcosa
come blocco del consiglio o blocco dello zoo
eleggerei solo un nuovo leader e poi
la richiesta inizierà a destra quindi è molto
algoritmo di elezione di base, ma tu sei solo
mai scrivere su un server e in questo momento
avrai solo una lettura da un server
a meno che tu non stia correndo come vault
Lasser altri commenti di domande
preoccupazioni dei reclami
beh, non ho nient’altro
libero di trovarmi sarò in giro per il
avanti come quattro o cinque ore e poi io
devo andare a prendere un volo per tornare negli Stati Uniti
ma sentitevi liberi di mandarmi un ping su Twitter o
puoi mandarmi una email Sono un marchio di Seth sul
internet I’m South Fargo all’hash Gorp
quindi se avete domande o volete
follow-up pubblicherò la demo
materiali probabilmente su github da qualche parte
e lo cinguerò presto
se ti interessa immergerti nel mio
script di shell terribili sei più di
benvenuto a fare così forte grazie
tu
Walt e solo prima di arrivare
ha iniziato quante persone qui hanno sentito
di Walt prima
va bene un numero discreto quante persone lavorano
in un certo tipo di campo relativo alla sicurezza
compresa l’ingegneria del software tirare così
non dimenticare di impegnarsi e valutare questo
sessione e fare domande sul go-to
app quindi sono io
il mio nome è Seth Fargo Sono un software
ingegnere e open source hanno sostenuto Hashi
Corp così tante persone hanno sentito parlare di Hoshi
tribunale prima che sia freddo quindi questo è il nostro logo se
non hai mai sentito parlare di noi prima o visto
quello che abbiamo fatto prima, ma potresti essere
familiarità con alcune delle open-source
progetti che rendiamo vagabondi
Packer surf console terraform e più
recentemente volt così vagabondo è un
strumento di automazione dell’ambiente di sviluppo
Packer è un’automazione dell’ambiente di costruzione
protocolli di pettegolezzi di basso livello sulla superficie degli strumenti
scoperta del servizio di console e
orchestrazione terraform è provisioning
infrastrutture e poi volta è
gestendo i segreti sia su un piccolo che su
su larga scala quindi parliamo di segreti
gestione e voglio parlare
gestione segreta pre volt così per il
avanti diciamo 10 minuti facciamolo
Supponiamo che il caveau non esista e che questo
sei mesi fa prima che esistesse il caveau
quello che è un segreto penso che questo sia
diverso per ogni persona come cosa
consideri le informazioni segrete che penso
ci sono alcune risposte davvero ovvie come
password del database ma poi ci sono
cose che consideriamo sensibili
non sono necessariamente segreti, quindi lo farebbero
consideri qualcosa come un cliente
numero di telefono un pezzo segreto di
informazione probabilmente no ma è così
sensibile
potrebbe causare danni personali a questo
cliente se tale informazione è fatta
disponibile quindi diamo un’occhiata ad alcuni esempi
quando parliamo di dati segreti che abbiamo
alcune cose molto ovvie come il database
credenziali SSL CA certifica la tua conoscenza
Chiavi di accesso AWS
chiavi di crittografia anche le cose meno ovvie
come la password o la fonte Wi-Fi
controllo e facciamo un ottimo lavoro
mantenendo quei segreti li abbiamo messi sotto
lucchetto e chiave li condividiamo solo con
le persone che hanno bisogno di avere accesso ai
loro ma sui lanci li abbiamo sensibili
informazioni che tradizionalmente sono nostre
l’industria non ha protetto molto bene
cose come numeri di telefono di tua madre
nome da nubile perché è così importante
beh questa è la sicurezza numero uno
domanda negli indirizzi email del mondo
che tradizionalmente conserviamo in piano
testo in modo che possiamo riprenderli
e inviare un po ‘di e-mail di marketing il
il reparto marketing piace davvero
avere queste e-mail a loro disposizione
cose come le nostre sedi di data center
non sembra che tu sappia troppo terribile
avere il data center oh sì, ci siamo
conosci il nostro cliente personalmente
informazioni identificabili quindi cose simili
indirizzi domestici numeri di telefono
identifica in modo univoco un cliente
forse cose come e- mail e chattare nostre
allentare le nostre comunicazioni interne come
bene ci assicuriamo quelli e tanto più come
bene li proteggiamo il mio portatile è
seduto laggiù ha sbloccato qualcuno
potrebbe salire premere il tasto Esc e
quanto sarebbe difficile per loro
accedi alla mia email aziendale o alla mia azienda
chattare sai che abbiamo visto incidenti dove
Gli iPhone sono stati lasciati alle sbarre e così via
è successo per essere la nuova versione del
iPhone e che costano aziende come
Apple ha un sacco di soldi a causa del troppo
presto di una versione quindi dobbiamo fare a
conservare meglio il lavoro di informazioni sensibili
così penso che come industria siamo
davvero bravo in questo abbiamo qualcosa di carino
soluzioni decenti attorno allo spirito
gestione quando si tratta di ciò che noi
tradizionalmente uso un segreto ma io
penso che sia un settore che o inconsapevole
del modo in cui trattiamo la sensibilità I
pensa di avere una definizione diversa e
Penso che questo sia davvero casa per un numero
di persone non importa se il
i dati sono
o sensibile considero un pezzo di
informazioni segrete se lo rilasciassero
causare a colpire le notizie in qualche tipo di
modo negativo e credo che uno dei
i primi esempi di ciò sono di recente
come Ashley Madison
quindi ovviamente Ashley Madison ne aveva alcuni
problemi segreti hanno fatto il loro database
attaccanti accessibili sono stati in grado di ottenere
accesso a tale database e di conseguenza
avevano un dump del database che è
ovviamente sei andato perfettamente comunque
le informazioni in quel database erano
sensibili i nomi e il contatto
informazioni delle persone che sono
interessati ad avere una relazione era tutto
appena memorizzato in testo normale e penso
i nostri sistemi sono progettati in questo modo a
un po ‘oggi penso più aziendale
le imprese assomigliano a questo
avere questo firewall esterno gigante che
ha forse qualche cancello di sicurezza, ma una volta
sei dentro il sai il
zona demilitarizzata una volta dentro
il forte militare non ne abbiamo molti
controlli sicuri di chi può accedere a cosa
è un po ‘ come quando sei nel
centro dati ci fidiamo di tutto il traffico
e una volta che assumiamo che tutto viene
dall’applicazione e penso che abbiamo bisogno
progettare i nostri data center un po ‘
più come questo in cui ogni individuo
il componente non è solo circondato da questo
firewall esterno gigante o serie di
firewall ma che ogni componente è
facendo convalida ogni componente dice
okay, mi fido delle informazioni che sei
dando a me e ho fiducia che posso
scambiare informazioni con te e questo è
tipo di ciò su cui è stato costruito SSL è stato questo
modello di fiducia quindi parliamo di segreto
gestione uno sottolinea così abbiamo
questi segreti come le credenziali del database
come li mettiamo in un’applicazione
quindi tradizionalmente la risposta c’è
sei stato o hard-code loro o te
usa qualcosa come la configurazione
gestione per deporle in fase di esecuzione
ma ancora più importante come fanno gli umani
acquisire quei segreti così hai
operatori e ingegneri applicativi e
hanno bisogno di avere accesso a quei segreti
in modo che possano fare il loro lavoro potrebbero
bisogno di scavare nella produzione
banca dati che potrebbero avere bisogno di essere l’inoltro
qualcosa
– magari riprodurre un bug in modo che loro
può risolvere il problema sul software e come farlo
invalida questi segreti così come fanno loro
si aggiorna così se ti passo il
password del database per quanto tempo è così buono
perché è buono fino a quando non ruotiamo il
password del database quali sono le politiche
attorno alla rotazione della password del database
che viene a domande che è quando noi
ruotare la password del database come facciamo
assicurati che gli umani e il
le applicazioni hanno la nuova versione e
che sono ancora autorizzati a
comunicare con quel database è a
problema molto insoluto in questo momento
e infine diciamo qualcosa
lascia la compagnia c’è un malintenzionato
attaccare come facciamo tutti quegli spiriti come
ci assicuriamo che anche se il nostro
le credenziali del database sono trapelate che abbiamo
l’opportunità di chiudere tutto
prima che il dump del database possa essere acquisito
quindi questa è la tradizionale gestione segreta
basta codificarlo nella configurazione
forse stai usando le variabili di sviluppo
se stai facendo come un’app 12 factor ma
anche allora se qualcuno ottiene l’accesso al
sistema possono semplicemente scaricare il
ambiente quindi perché non è la configurazione
gestione una buona soluzione per la caduta
dai segreti bene penso prima e soprattutto
importante è memorizzato centralmente quindi se
stai usando qualcosa come lo chef o
burattino o ansible o sale se lo sei
usando come il loro server Edition così tutto
dei tuoi segreti sono memorizzati nello chef
server o se stai usando solo il
freemium e dove tutti i vostri segreti sono
memorizzato su qualcosa come git o SCM così
stai controllando i segreti in un sistema
quello non era in realtà progettato per essere
segreto quindi cose come lo chef criptato
i sacchi di dati hanno vulnerabilità note e
per esempio la comunità è arrivata
con alternative a causa della tua
vulnerabilità reciproca, quindi è così
provato che non sono una grande soluzione
per la memorizzazione di segreti o così il
procedure di autenticazione con chi può
si collega al server dello chef connettersi con
anche il server fantoccio non è al 100%
sicuro quindi è possibile per un ladro
client per unirsi a un cluster e potenzialmente
ottenere l’accesso ai segreti che non dovrebbe
avere accesso solo fingendo di essere
parte del cluster
scrivendo i segreti di un file e
poi li legge direttamente dal disco
alla fine è coerente
quindi se stai facendo da cuoco o da fantoccio
qualche tipo di intervallo ci vuole 15
minuti 30 minuti fino a che a
il cambiamento di convergenza è avvenuto così
significa se in questo momento hai un database
violazione e hai bisogno di cambiare completamente
tutte le password del tuo database e
ruota tutto ciò che devi aspettare 15 a
20 minuti o 30 minuti o devi
forzare un’esecuzione di gestione della configurazione
attraverso tutto il tuo orologio e questo
pone molti problemi se ne hai uno
numero di server, ad esempio potresti
si sta introducendo un tuono sentito
problema che potresti non convergere
e ad un certo punto la tua domanda è
sta per comunicare con il male
credenziali del database fino a quel momento
la convergenza accade non c’è accesso
controlli o pochissimi controlli di accesso
ma ancora più importante non c’è auditing
intorno a quei controlli di accesso quindi chi
accesso al segreto perché l’hanno acceduto
quanto tempo hanno acceduto ciò che ha fatto
lo usano per queste sono tutte domande
che abbiamo chiesto e quando parliamo di I
sappiamo che siamo in pista ma quando lo facciamo
parlare di qualcuno di robusto ha detto
qualcosa due giorni fa davvero
colpito con me, che non sei mai
sarà davvero in grado di prevenire tutto
di questi attacchi il valore è quello
vuoi renderlo così difficile
le persone scelgono un diverso e
percorso alternativo che gli hacker a
qualcosa di diverso perché tu l’hai fatto
è così difficile per loro inciderti
tecnologicamente quindi faranno ricorso a
qualcosa come un’ingegneria sociale
attacca invece quando ciò accade
controllo e controllo degli accessi sono super
importante è molto importante che
sei in grado di monitorare tutto questo perché
in caso di vulnerabilità della sicurezza
l’ultima cosa che vuoi avere
un comunicato stampa è che non sappiamo cosa
successo è molto meglio uscire
e dire qui è dove la nostra vulnerabilità
è stato qui come testiamo ecco come noi
mitigato e infine non c’è
supporto per la revoca quindi se si elimina
lo chef ha crittografato la borsa dei dati o lo sai
Rimuovere il fantoccio manifestare tutti
le macchine che sono state approvvigionate
hai già accesso a quello che vede
storico Armin non c’è modo di revocare
che quindi perché non qualcosa come un online
la data di esso ti dà il controllo di quelli
tipi di cose che non sono progettati così
a Hasek harp crediamo nell’UNIX
filosofia che è fare una cosa e fare
davvero bene
e non ti aspetteresti mai che io possa creare
un file per te e ci piace prenderlo
stesso
con i nostri strumenti e cose come post
grafici e console progettati per essere un
motore di archiviazione segreto o se lo fanno
quegli attori sono avversari molto diversi
codice in genere sono memorizzati in chiaro
testo di un numero di questi hanno l’abilità
essere crittografati ma non lo sono
crittografato per impostazione predefinita in modo che significa che
se li stai usando per l’archiviazione segreta
devi andare al di sopra e al di là con il
impostazione tradizionale solo per ottenere l’aggiunta
livello di sicurezza di cui hai bisogno e poi
infine, pochissimi di loro hanno qualche tipo
di auditing o capacità di revoca
costruito nel devi costruire personalizzato
Estensioni di Postgres che devi scrivere
suonare una console circolare per farlo
possibile quindi un’altra domanda è come fare
gestiamo lo sprawl segreto in cui si trova
una grande organizzazione parliamo di umano
gli esseri umani
operatori che hanno sviluppatori e macchine
griglie di accesso come trattiamo il
fatto che ci sono segreti ovunque e
soprattutto cosa facciamo nel
evento di un compromesso qual è la nostra pausa
procedura di vetro quindi vediamo alcuni anomali
registra e pensa che qualcuno potrebbe aver guadagnato
accesso non autorizzato a uno dei nostri
sistemi cosa facciamo ciò che fa
procedura di vetro rotto e la maggior parte
importante come fa a rompere il vetro
la procedura influisce sul resto del nostro
applicazione il resto del nostro ambiente
loro prenderanno giù la produzione sono
siamo in grado di recuperare rapidamente e molto
i sistemi esistenti non possono rispondere a questo
domanda che non conoscono l’attacco
superficie non sanno chi sta accedendo
un segreto quindi è difficile avere un
procedura di vetro rotto quindi se parliamo
sullo stato del mondo pre-predefinito
abbiamo un sacco di sprawl segreto che ha
le chiavi perché hanno loro quello che sono
usandoli per con pochissimo controllo
o visibilità abbiamo questi
memorizzazione delle chiavi decentralizzata e
potenzialmente più sistemi e infine
abbiamo il questo grado poco definiti
la procedura di classe e in sicurezza è
tipo di terribile dirlo ma tu hai
ottimizzare per lo scenario peggiore
è un campo in cui la cosa che può
capita sempre accadrà meglio
ottimizzare per quegli scenari come il
procedure di interruzione della perdita quindi parliamo
sulla gestione segreta per sottolineare noi
erano davvero consapevoli di molti di questi
i problemi erano problemi che stavamo affrontando
internamente quindi manteniamo un
l’applicazione chiamata Atlas chiunque abbia sentito
su quello che è bello
così Atlas il modo in cui Atlas lavora è quello che hai
per darci le tue credenziali cloud è
piuttosto spaventoso
proprio come faremo il provisioning tuo
infrastruttura e gestisci il tuo
infrastruttura per te ma come risultato
dovete darci il vostro orologio
credenziali che significa che dobbiamo
crea un sistema che ti puoi fidare di noi
abbastanza da darci il tuo file GCE o
dacci le tue chiavi di accesso AWS e basta
una build affidabile e difficile, invece di
costruendo alcuni complessi Postgres
estensioni e blog su di esso noi
ho deciso di creare uno strumento e l’abbiamo fatto
strumento dopo aver parlato con un numero di
clienti e ci siamo resi conto che praticamente
molti hanno problemi molto simili
stanno solo pensando a loro in
modi diversi , quindi abbiamo creato una lista
degli obiettivi il primo obiettivo era volt necessario
essere l’ unica fonte di verità per
segreti e volt potrebbero essere sostenuti da
un altro motore di archiviazione che potresti essere
familiare con qualcosa come Postgres o
console ma la volta stessa doveva essere
il punto di ingresso per i soffitti che dobbiamo
avere accesso programmatico alle applicazioni così
strumenti come lo chef e il burattino dovevano essere
in grado di accedere a questi segreti tramite alcuni
tipo di autenticazione che verifica l’accesso
a loro, ma l’ intero processo deve essere
automatizzato non possiamo avere il manuale
figurazione nel mondo moderno
non scala abbiamo bisogno anche di avere
l’accesso manuale però è necessario per gli operatori
essere in grado di entrare e ottenere un tipico
protocollo o ottenere una chiave di accesso API loro
può riprodurre un attacco o così può farlo
potenzialmente eseguire il debug di alcuni tipi di problemi in
la produzione inoltre non è elencata
qui ma gli sviluppatori potrebbero aver bisogno di accesso
ma potrebbero aver bisogno di un livello diverso di
accesso in modo che gli operatori possano avere un pieno
vista aperta di tutto tranne gli sviluppatori
può tutti accedere così qui è nel
organizzazione doveva essere pratica e
questo era veramente aperto ma che cosa
davvero ridotto a quello che doveva
lavorare fuori dalla scatola un sacco di
esistevano i sistemi di gestione segreti esistenti
scatole nere li hai schierati e questo
è quello che potresti fare ed è stato molto
molto un punto di ingresso e avevi finito
e da ciò derivò il fatto che esso
doveva essere open source ed essere aperto
fonte offre due vantaggi dapprima
significa che puoi immergerti nel codice
adesso e tu potresti dare un’occhiata e
puoi trovare qualsiasi sicurezza
vulnerabilità che potresti volere e
puoi valutare la maggior parte delle altre misure di sicurezza
gli strumenti non sono open-source e non lo faranno
fornirti la valutazione della sicurezza
se uno è stato fatto la seconda cosa che
uscito dalla sicurezza pratica è stato il
esperienza utente quindi ci dedichiamo molto tempo
e sforzo nello strumento per essere sicuro
che è facile da usare , ma
scala a centinaia di migliaia di
dispositivi o server che accedono ai segreti e
infine doveva essere un moderno data center
amichevole o come il termine che ho avuto
sentito gettato in giro un numero di volte
ecco che doveva essere una nuvola pronta
o un’applicazione cloud ready quindi cosa sono
alcune delle caratteristiche di volta Vault è un
meccanismo di archiviazione segreto sicuro e tu
può usare nella memoria di cui possiamo parlare
su un po ‘di console puoi usare a
file system basato Postgres e siamo
L’aggiunta di più e più della comunità è
interessato a più e più c’è un
zookeeper back-end ora anche una cosa
quello separa realmente il vault dal
interessanti strumenti di gestione segreti
che abbiamo questa nozione di dinamica
segreti così quando tradizionalmente pensi
su una memoria di un motore di archiviazione segreto
si mette in segreti e li tira fuori
si pensa che era qualcosa come LastPass
un operatore per passare un tipo di operatore
alcuni segreti o copia e incolla da a
modulo web e lo mettono sotto questo
tipo di database cosa poi quando vogliono
per recuperarlo ci sono le mele intorno
hanno messo la password in quello è il padrone
password e ottengono i dati da noi
non pensavo che fosse sostenibile così noi
ha preso un approccio diverso , così vault
la capacità di creare e dinamicamente
distribuisci segreti e mostrerò una demo
di questo qui in un po ‘ma
fondamentalmente con Vault puoi puntare il vault
su un server Postgres fornisci radice alt
accesso al tuo database Postgres e a te
diglielo quando qualcuno legge
questo endpoint con un token autorizzato
dare loro credenziali e quelli
le credenziali hanno una scadenza che hanno
un intervallo di rinnovo simile a un TTL
e possono essere revocati in qualsiasi momento e
possono essere revocati su un prefisso in qualsiasi
tempo quindi ciò significa che l’ operatore è
non dovrò più lavorare entrerà a
Il segreto segreto può farlo per loro
infatti le applicazioni stesse possono
richiedere credenziali di database univoche così
se immagini che stai usando un Python
applicazione di applicazioni o binari
cinquecento server ciascuno di questi 500
i server possono richiedere un database in modo univoco
credenziali e nel caso di a
compromesso non solo hai il
auditing e Ackles sul posto ma tu
avere la possibilità di tornare indietro e scoprirlo
esattamente quale server è stato compromesso
in base alle credenziali che sono state utilizzate
avevamo bisogno di un supporto integrato per le cose
come il rinnovo del leasing e la revoca come
così come la rotazione delle chiavi che è stata recentemente
aggiunto che avevamo bisogno dell’auditing nel
Spiegazione della MRP applicabile e infine e
la cosa più importante è che abbiamo bisogno del
capacità di lavorare con tutto così
inizialmente abbiamo visto qualcosa come gr
PC se vieni dal PC M si va
protocollo per la comunicazione tra processi
e alla fine ci siamo stabiliti su un
API HTTP e il motivo per cui è pari
sebbene HTTP un ragazzo sia per tradizione
più lentamente l’area riposante è un po ‘
esagerato al momento strumenti moderni e
praticamente tutte le lingue funzionano
un certo tipo di API HTTP in effetti alla fine
del giorno puoi sempre ricorrere al ricciolo
per ottenere i segreti dal caveau e tu puoi
ottenere queste informazioni e JSON e
canalizzalo su qualcosa come JQ ma anche noi
avere un supporto di prima classe per cose come
Ruby, quindi abbiamo il client trooper muro
c’è un client node.js un client Python
il cliente ufficiale va e c’è un
anche il cliente ferroviario e la comunità
lavorando su sempre di più per
il flusso POSIX abbiamo costruito il pinna
ambiente abbiamo avuto un modo civile per ottenere
segreti quindi abbiamo scelto un’API HTTP per questo
per quanto riguarda lo stoccaggio segreto
i dati sono crittografati durante il transito e tutti
invia cose al caveau che è criptato
ed è criptato su disco o in memoria
ecc. Tutto ciò che viene richiesto è 256 AES GCM
TLS 1.2 quindi nessun SSL v3 se si tenta di
comunicare con Vault non lo è
downgrade il tuo protocollo SSL sarà solo
respingi la tua richiesta e poi non c’è
HSM richiesto e questo è sia un positivo
e un negativo e molte persone hanno
questa nozione che HSM sono come il
futuro e aggiungono un sacco di
entropia abbiamo scoperto che è in realtà
non è vero alla fine della giornata si ottiene di più
un ottimo algoritmo software
al contrario di un HSM che aggiunge molto
poco se qualsiasi entropia di un sistema
l’entropia è importante in segreto
generazione quindi non abbiamo ancora il supporto
per HSM aggiungeremo supporto per
HSM perché il numero di clienti
ho chiesto ciò che abbiamo trovato è quello
nel mostrarli sulla mappa che abbiamo fatto
di solito cambiano idea perché
il software per scoprire il ritmo può realmente
avere più entropia in modo da avere diapositive
caso il mio demo non ha funzionato, ma lo farò
passare alla modalità demo si può girare che off
così invece di passare attraverso a
un sacco di diapositive statiche che io
ti mostrerei solo falso e
quindi quello che ho fatto qui è che ho un po ‘ di
preparato un piccolo script per impostare il vault
per me questo è solo un Astra
che sono felice di mostrarvi quindi questo è
solo uno script batch che è fondamentalmente
avviare il vault e creare un intero
un sacco di backend per me così puoi vedere
che è stato configurato il back-end AWS
il Postgres arretra il transito
back-end, ecc., quindi quello che voglio mostrarti
è il caso d’uso del vault di base quindi sono
dirò a Walt dove vivo o dove
il server del vault vive e ora posso
controlla il caveau
quindi ass Turchia e poi puoi creare
i possessori di chiavi usano una condivisione segreta di Shamir
quindi questo elimina l’ intera persona
ha accesso a tutto così nell’evento
di un compromesso puoi sigillare il caveau
e richiede un quorum di detentori di chiavi
che sono impostati ogni volta che vault
configurato per annullare la chiusura del deposito per
esempio a Haji carb ce ne sono cinque
persone che hanno le chiavi e mi piace usare
l’analogia se hai mai visto come a
film in cui le persone catturano il presidente
e come tre persone devono piacere il tipo
nei loro codici di accesso
disarmare la bomba nucleare che è in realtà
come funziona il vault è molto simile
come cinque persone hanno codici di accesso e
tre persone hanno bisogno di inserirle
per smobilitare il caveau
e tutto ciò è configurabile all’avvio
tempo puoi avere un centinaio di chiavi con
due persone che hanno bisogno di disfare o puoi
avere una chiave con una persona che ha bisogno
per unseal ma consigliamo vivamente a
numero più alto di uno e uno I
non è possibile sigillare il caveau in questo momento e
poi disvela ma non voglio farlo
che invece voglio mostrarti come
scrivendo al back-end generico così da
di default senza montare niente volta
si comporta in modo molto simile a qualcosa di simile
LastPass o una password in modo da avere il
capacità di scrivere e in realtà
basta postare il comando con la ragazza, il rubinetto
non con ma come arricciare sotto il cappuccio I
posso scrivere i due segreti e poi
poi sopra un segreto quindi in questo caso lo farò
scrivere a foo e posso dire dati così tutti
di tutti i dati che vengono scritti
al negozio segreto è in una chiave uguale
formato di valore e poi arriverò davvero
indietro come JSON quindi se l’ho fatto bene io
ha fatto la data in cui è stato scritto e il
il modo in cui posso recuperare quei dati è il
l’esatto opposto e puoi vedere che otteniamo a
un po ‘più informazioni indietro di noi
fatto quando abbiamo scritto i dati così otteniamo
questa durata del contratto di locazione ID e se
il contratto di locazione è rinnovabile o di cui non si parla
rinnovabile e un po ‘perché lo sarà
ha più senso in un contesto diverso
l’ID del leasing e la durata del leasing
identificare in modo univoco questo contratto di locazione così
abbiamo la possibilità di revocarlo
segreto senza conoscerlo veramente
contenuto quindi questo significa che possiamo
archiviare in modo sicuro l’ UUID da qualche altra parte
e nel caso di un compromesso possiamo
revocare quell’UID e il vault lo sapremo
che segreto mappa per cui non abbiamo
per sapere esattamente che il segreto è chiamato
foo tutti abbiamo bisogno di sapere è l’UID del
possibilità di produrre questo come JSON che è
super utile per cose come l’automazione
e molte delle sceneggiature che farò
ti mostro qui oggi io uso uno strumento chiamato
JQ che mi permetterà di piacere a tirare il
ad esempio, i dati su zip e così via
è un modo davvero semplice per
i dati di tutti i dati messi nel vault
puoi scrivere non puoi scrivere file ma
puoi scrivere da un file quindi se lo hai
un gruppo di K equivale a coppie di valori in a
file è possibile utilizzare il segno e il vault dell’app
leggerà ognuno di loro e creerà il
valore fuori di così che è il generico
backend si comporta in modo molto simile a
una password ti basta dare una password
ad una particolare chiave e poi ottieni
gli attributi tornano alla moda così il prossimo
cosa che vorrei mostrare è la
endpoint di transito quindi quante persone ci sono
familiare con km di Amazon va bene così
l’endpoint di transito si comporta in modo molto simile
per i chilometri di Amazon la nozione è quella volta
sta per mantenere questa chiave di crittografia
quindi questo è il luogo in cui vault
servizio di crittografia e questo è super
utile per cose come le applicazioni web
o le applicazioni client tradizionalmente
la tua applicazione web ha bisogno di conoscere il
chiave di crittografia in modo da avere sensibili
informazioni forse è una carta di credito
numero anche qualcosa come un telefono
numero che si desidera crittografare in
database ma tu vuoi memorizzarlo
chiave di crittografia offline che non vuoi
la tua applicazione web con accesso a
le chiavi di crittografia perché se qualcuno
compromette il database o il web
applicazione hanno tutto su uno
vuoi rendere l’attacco in superficie come
distribuito il più possibile in modo che multiplo
sistemi devono essere compromessa per
per avere effettivamente un attacco di successo
vault fornisce questa crittografia come a
servizio e il modo in cui lo fa
attraverso il back-end di transito è così vault
andando a creare una chiave di crittografia per noi
e quindi tutto ciò che facciamo è scrivere i dati su
volta e la loro risposta è il
dati crittografati e quindi li memorizziamo in
il nostro database e in qualsiasi momento vogliamo
accesso ai dati non criptati che scriviamo
con i dati crittografati e vault dà
restituiamo i dati non crittografati
siamo ancora autorizzati a farlo, quindi se
hai un’applicazione che si sta comportando
grosso modo è possibile revocare tali applicazioni
accesso e quando dice hey decifrare il
segreto vault proprio come ora così che cosa
mezzi è le applicazioni devono essere
resiliente a quello e se stai usando
uno dei plugin ufficiali che sono
costruito in resilienza è lì sarà solo
ritorna come il valore vuoto e accedi
eccezione al contrario
– Mi piace spaventare ma te lo mostrerò
l’applicazione che ho costruito oggi
andrà fuori di testa solo per gli scopi di
la demo che ti mostra cosa succede
ogni volta che la chiave è stata revocata, quindi se
diamo un’occhiata al setup di transito che è
piuttosto semplice sto scrivendo a
la demo di crittografia di transito con a
valore in chiaro e poi lo farò
uscita tale valore testo cifrato quindi sono
andrò avanti e gestirlo e tu puoi
vediamo che abbiamo recuperato questo tipo di goggly goop
vault con un prefisso tutto ciò che viene
dal back-end di transito infatti lo farà
prefisso molti dei suoi segreti con un
indicatore che dice hey questo è da
vult e questa è la versione zero del
cifrare la prossima versione di vault 0.3 è
andando a supportare la rotazione delle chiavi in linea così
quella versione del codice è super
importante quindi la prossima versione di Vault
se si desidera ruotare la chiave che il
l’applicazione web direbbe hey vault
decifrare questi dati e se alt direbbe
oh questo sembra il vecchio più sicuro che sono
decifrando lo cifrare nuovamente con il
vecchia chiave e ti restituirò non solo
il valore in chiaro ma il nuovo
valore di testo cifrato che ha il nuovo
algoritmo di crittografia quindi questo significa che tu
può fare la rotazione delle chiavi online senza nessuno
interruzione in effetti il tuo sviluppatore
forse ne ho bisogno, quindi andiamo a dare un’occhiata
a come potrebbe sembrare
qualcosa come un’applicazione di rotaie così io
metti insieme questo piccolo binario
applicazione ieri che memorizza tutto
dei miei amici e della loro carta di credito
numeri non so di te ma io
Mi piace davvero mantenere il merito del mio amico
numeri di carte a portata di mano nel caso io
bisogno di comprare qualcosa su Amazon
okay , non so perché non funziona
ma
gli dei demo non sono con me questo
mattina posso passare a quello successivo
e spero di capire perché questo è
non funziona, ma fondamentalmente quello che ero
andando a mostrare che è quello il
l’applicazione crittograferà i dati e
memorizzerà nel database solo in
memorizza il valore crittografato ma lo siamo
in grado di restituire il valore in testo normale
interrogando l’ errore ma ne ho un altro
dimostrazioni e che possiamo tornare a questo
se c’è tempo e così la prossima cosa che
voglio mostrarti la dinamica attuale
generazione segreta e questo è dove
vault è molto molto diverso da qualsiasi altro
strumento di gestione segreta, quindi prendiamo a
guarda qualcosa come post dei grafici così
qui sto dicendo quello che sto facendo
Postgres hey come voglio che tu mi dai
credenziali ma sto facendo giri veloci
vault così in quello script di installazione che cosa ho fatto
è stato II ha dato accesso al vault
tipo di database è l’ utente root di
Utente Postgres che ha l’equivalente
di sudo e Postgres LAN ciò significa
può creare database creare utenti ecc
e sarebbe dal gancio come percorso
puoi montare più percorsi come sono
andando a tornare è un insieme unico di
credenziali che hanno un certo
scadenza quindi andrò avanti e gestirò questo
solo per mostrarti cosa succede così tu lo farai
notate che siamo tornati, non preoccupatevi
riguardo l’host ma questo è il nome utente
e la password che siamo tornati da
Postgres e poi ho appena collegato con
Postgres quindi questo è in realtà un telecomando
pezzo uguale esempio che è in esecuzione su
ec2 da qualche parte e ho la capacità di
elenca tutti i database e questo utente
in realtà ha solo accesso in sola lettura, quindi noi
impostare il modello in modo che qualsiasi
credenziali che vengono lette da cred
taglia i controlli dell’endpoint di sola lettura
sono di sola lettura, puoi immaginare che questo è un
lo scenario è fantastico per qualcosa di simile
sviluppatori di applicazioni dove vogliono
essere in grado di entrare e fare il debug del
database che vogliono ispezionare alcuni
i valori potenzialmente diagnosticano un problema ma
non vuoi che siano in grado di farlo
tutto ciò che ti danneggia solo te li vuole
essere in grado di leggere i dati con il loro token
potrebbero essere Emily che sarebbero in grado di farlo
generare valori di sola lettura quindi sono giusto
andando a copiare questo qui
lasceremo Postgres così posso leggerlo
qualsiasi numero di volte lo noterà
il valore che stiamo recuperando è
diverso ogni volta quindi se guardi
questa password di username è costantemente
cambiando se sono andato in Postgres a destra
ora e elenco gli utenti che vedremmo a
utente per ciascuno di questi ora dopo che penso
L’ho detto per 15 minuti
ma qualunque sia la durata minima è se
questi segreti non si sono rinnovati
Mi dispiace che sia un giorno 3,600 se loro
non si sono rinnovati in quel momento
frame vault li revocherà quindi cosa
questo significa che la tua applicazione deve
avere intelligenza da dire quasi come un
TTL hey Sto ancora usando questo segreto e
lo fa in un certo intervallo noi
raccomandare meno durata su due così tu
rinnoverei ogni 1.800 secondi in questo
caso invece di 3.600 quindi ogni 1800
secondi hai un lavoro in background
ping vault e dice hey sto ancora usando
questo segreto e quello resetteranno tipo di
il conto alla rovescia se lo farai
segreto se quello ha zero ci sono due modi
che quel segreto è stato revocato prima di tutto
usa un registro di destra in modo anche nel
evento che qualcosa di terribile sarebbe
può accadere il rollback e il
problema del fallimento ma creiamo anche il
Postgres utente con una scadenza quindi quando
il back-end che lo supporta ha il
vault di funzionalità creeremo il
utente con esso se qualcuno è in grado di
completamente sabotato il difetto del Postgres
l’utente stesso viene creato con I’ll show
tu qui la clausola valida fino a quella
il valore di scadenza viene dal caveau è
basato su tale durata di affitto in modo che
significa che anche se vault va completamente
offline potrei completamente abbattere
questa particolare istanza Vault Postgres
scadranno ancora quegli utenti dopo 3600
secondi così abbiamo quel doppio strato di
sicurezza che anche se il vault stesso è
compromessi i segreti possono ancora essere
revocato se il back-end di archiviazione supporta
così per ogni valore che siamo
tornare indietro significa creare un nuovo utente
e se lascio questa corsa per un’ora
quegli utenti saranno tutti vlog
vedrai effettivamente sopra la quercia provocata
e potresti o rughe sono
aver luogo se l’applicazione è
rinnovando quindi penso in modo ovvio
domanda che è come otteniamo questi
segreti su come la nostra applicazione e
hai un paio di modi per poterli usare
qualcosa dritto come arricciare e afferrare
l’output JSON e mettilo su disco o noi
avere uno strumento che è un modello di console
che effettivamente permetterà di aprire up
dal vault direttamente nel filesystem
e puoi cambiare le autorizzazioni su
quei file in modo che solo l’applicazione
puoi leggerli puoi anche tirare le cose
nell’ambiente con altri strumenti
che non sono modelli di console, quindi se io
guarda fondamentalmente questo modello di console
quello che stiamo facendo qui è che stiamo interrogando
vault per la chiave delle password e poi
stiamo prendendo i dati al momento giusto, quindi cosa?
Ho intenzione di fare qui è che devo
in realtà creare questa password così farò
una cassaforte segreta destra vault cosa fare
vogliamo che sia la nostra password da utilizzare
Okay, sto facendo questo per dimostrarlo
tu che questo non è solo un po ‘elaborato
schema che ho pre-registrato così ora se
Corro il punto H del modello , puoi vederlo
in realtà tirando fuori quella password ma
ovviamente è stato molto veloce perché
sta comunicando localmente ma se noi
cambia questa password sarà automaticamente
aggiornamento molto simile al termine del bordo
ciò accade nel modello di Kabul con
concetto e il vantaggio qui è quello
il modello di console lo sta facendo davvero
tale intervallo intergroup di rinnovo del leasing
sullo sfondo per noi così che tu possa
in realtà sostituire questo con qualcosa
piace leggere dai crediti di Postgres
sola lettura, quindi se modifico questo e invece
di leggere da password segrete che potevo
leggi dai crediti Postgres di sola lettura e io
penso sia il nome utente
Immagino la loro chiave ma questo è
in realtà in cerca di nuovi Postgres
credenziali così ogni volta che questo in realtà
chiede un nuovo valore che diventerà nuovo
Potenziali Postgres, ma una volta che ha il
credenziali
li rinnoverà quindi questo significa che il tuo
l’applicazione potrebbe usare qualcosa di simile
modello di console per richiedere segreti
supponendo che abbia l’autorizzazione appropriata
e poi una volta che ha il segreto del genere
qualcosa come modello di console o deposito
Le rotaie del vault di Riviere sarebbero responsabili
per rinnovarlo sullo sfondo e it
ha un supporto integrato per te
non devi preoccuparti della complessità
ci hmm
quindi è fantastico per qualcosa come te
immagina come un’applicazione per rotaie
stai scrivendo il tuo database yamo
depositare in modo da avere la possibilità di
hanno generato dinamicamente dei segreti
senza bisogno dell’applicazione
tutta questa intricata conoscenza di come
caveau funziona basta dare un percorso
leggi da quel percorso e ottieni segreti
indietro così sembra che io valga davvero
al momento quindi non avremo un
possibilità di tornare alla demo del modello
ma lo farò funzionare e twittare
l’URL in modo che tutti possano prendere un
guarda e puoi mettere i tuoi amici
numeri di carta di credito per me se tu
vuole è completamente opzionale Credo
non so se abbiamo tempo per le domande
Martin okay
Wow, abbiamo 20 minuti
bene non ci sono domande nell’app
quindi sono felice di prendere domande sulla vita reale
sì nella parte posteriore qualche produzione a
minuto si intende ripetere che va bene uh
la domanda era questa era impressionante
parla grazie
chi usa la produzione vultan questo è un
domanda difficile a cui rispondere perché a
Molti dei clienti che utilizzano caveau
che sono impressionanti hanno chiesto di non essere
chiamato c’è un coupon molto grande
produttore che ha sede negli Stati Uniti
Stati ci sono un certo numero di finanziari
società di servizi che non menzionerò
ha espresso molto interesse e
Penso che la maggior parte lo stia ora gestendo
in produzione un sacco di
le funzioni zero-punto-tre sono come a
risultato di imprese che lo gestiscono
produzione ovviamente utilizziamo un caveau in
atlanti di produzione tutte le chiavi che
aggiungi ad Atlas sei criptato nel vault
e ho un post sul blog molto dettagliato
su come funziona sull’architettura
sulla foto del punteggio più alto sei
interessato a leggere come il
dettagli tecnici nitty-grintosi di come
quello scambio accade vault è strano
uno così per altri prodotti di origine a
molte persone sono come sì, noi totalmente
usa vagabondo e trovi quando arrivi
nello spazio di sicurezza un sacco di a
molti dei modi in cui le organizzazioni
proteggersi è non dire
ciò che viene detto usando perché è un
potenziale vettore di attacco quindi se lo so
che stai usando LastPass, potrei esserlo
in grado di sfruttare la vulnerabilità
allo stesso modo in cui so se so che lo sei
utilizzando una versione senza patch di SSL aperto I
potrebbe essere in grado di sfruttare le vulnerabilità
quindi sono molto meno aperti a parlare
su chi lo sta usando, posso dirlo
il giorno della pubblicazione ne aveva oltre 2.000
stelle su github e continua a crescere
è uno dei nostri più rapida crescita
progetti open source che abbiamo assunto a
ingegnere a tempo pieno per lavorarci su così è
sicuramente popolare è usato da un numero
di persone di cui non posso davvero parlare
Molti di loro altre domande che ho visto
non era andare avanti
quindi quando parli della dinamica
segreti e cose credo che tu abbia bisogno di me
significa che hai colpito un paio di script lì
non è che ho preso sorta di punto che
perché io – penso che eravamo abbastanza in Sun era
andando avanti così se ho il mio database personale
e voglio amare i segreti dinamici
ovviamente ho un deposito di garanzia
modo di creare nuovi segreti al suo interno
come faccio che sì l’ ho fatto nel
script di installazione ma non sono andato davvero
attraverso di essa per due motivi quindi prima di
è tutto il motivo per cui utilizzo gli script
perché non posso scrivere e parlare al
stessa volta l’ho già fatto e basta
non funziona molto bene, quindi è molto
più facile per me solo al posto tuo
guardandomi digitare 30 volte è così tanto
demo più semplice se ho solo gli script
pre pre compilato ma se andiamo
attraverso questo file qui o lo faccio oh
Non ho mostrato la demo di AWS, quindi puoi
generare dinamicamente le chiavi AWS – ma
ecco dove ho impostato il back- end così
queste linee qui e puoi vedere cosa
stiamo facendo è così montiamo il Postgres
di nuovo dentro e poi gli do la mia connessione
quindi abbiamo un back-end PostgreSQL che
è dove puoi memorizzare i segreti e poi
abbiamo un back-end segreto di PostgreSQL
è così che puoi generare dinamici
i segreti dei post grafici di cui abbiamo parlato
su come rinominarlo ma in realtà è entrambi
quindi puoi usare Postgres per archiviare il vault
dati allo stesso modo in cui è possibile utilizzare il file
sistema o in memoria ma puoi anche usarlo
post stampa e supportiamo il mio sequel
Uncas per generare dinamicamente dei segreti
usando un caveau
quindi dai al caveau il tipo di chiavi
il regno e tu dici ehi gestisci
Le credenziali di Postgres per me e tu dici
vault come farlo così come se tu vada
a questa istanza RDS è possibile accedere con
il nome utente vault e la password è
password del vault, ovviamente molto sicura e
come se avessi configurato tutto questo per te
e poi dici a Volt come creare
gli utenti per cui stai dicendo la palla
il punto di sola lettura quindi quando qualcuno
legge da sola lettura che voglio creare
loro un utente e quindi li concedo solo loro
selezionare
su tutte le tabelle nello schema pubblico così
stiamo facendo loro di scegliere, invece di
la possibilità di modificare tabelle e questo è
come cartolina specifica
giusto quindi la domanda è questo modello
deve essere conservato in modo sicuro perché
ha le credenziali di volta in volta
in realtà lo metti in un modello e
l’operatore dovrebbe configurare digitando
qualcosa nel deposito di configurazione
c’è un numero di modi per
Configurare il vault internamente siamo privati
github repo che ha la nostra configurazione
in esso e poi per cose come il post
grafici abbiamo una memoria out-of-band
motore che tira quei dati in I’m at
Tempo di visione dei mietitori ma una volta è così
configurato non è più necessario farlo
e anche se vault è disattivato se
stai usando un back-end persistente così
qualsiasi cosa diversa dalla memoria quando
torna online sa tutto questo
le informazioni sono tutte criptate a riposo
quindi devi solo configurare in una volta così
idealmente non lo metterei mai in realtà
in un modello a meno che non steste facendo
una cosa di recupero di disastro che ho appena fatto
questo modello perché mi guardi digitare
tutta questa roba sarebbe stata
noioso per te e molto imbarazzante per
io posso mostrarti il backend AWS se
siete interessati a quel che è
in realtà super utile per gli sviluppatori
quello che ho è una politica qui se lo sei
ma sì è solo una politica di messaggistica istantanea per
gli sviluppatori quindi quello che sto facendo è nel grafico
Sto forzando l’autenticazione a due fattori così
Sto dicendo che non puoi usare la nostra produzione
infrastruttura a meno che non sia necessario un fattore
spento abilitato piuttosto basico ma puntualissimo
questo permette a qualsiasi cosa su di te se il
lo sviluppatore ti ha eliminato e se io
leggerò lo sviluppatore di credenziali AWS che otterrò
indietro le chiavi di accesso alla vita e quindi questo è un
otto se hai familiarità con AWS che è
un ID della chiave di accesso e una chiave di accesso segreta
e questo ha accesso al mio ec2 personale
o il mio account AWS personale per favore non farlo
vai a Bitcoin mining se hai due fattori
autenticazione abilitata che come il
sviluppatore che li ha effettivamente richiesti
avrebbe bisogno di avere due fattori
autenticazione abilitata o altro
oggetto
la creazione effettiva al livello ec2 così
l’ami è la volontà della politica
in realtà rifiuta la creazione a meno che l’utente
utilizzando queste credenziali ha il
l’autenticazione a due fattori è qualcosa
potresti usare come un sistema
le risorse caricate potrebbero essere come un CI
server che compila il tuo JavaScript e
lo carica in qualche secchio su s3 tu
potrebbe avere quel sistema in modo dinamico
segreti dall’endpoint patrimoniale e dal
unica cosa che si cambia c’è
invece di leggere dallo sviluppatore di creds
leggi dalle risorse creds che ottieni
credenziali diverse indietro e queste
le credenziali di un posto scadono in un’ora
se non sono recensiti, quindi non lo faccio nemmeno io
devono andare a eliminarli, non solo scadono
e quando scadono lo faranno
automaticamente essere rimosso per me di essere
eccezionale
Zia furball altre domande
tu?
sì così una cosa che non ho mostrato perché
è davvero complicato e ti presume
avere una profonda conoscenza di come PKI
works is vault può effettivamente funzionare come CA.
quindi se fornisci al vault un certificato CA.
persone o computer possono richiedere
certificati da vault e non solo can
lo usano per autenticarsi con ma
immagini che la maggior parte delle organizzazioni abbia
per distribuire certificati SSL su
macchine client se stanno facendo
terminazione su qualcosa di diverso da come
un bilanciamento del carico e ottenere quello
informazioni da Vault come CA.
in realtà super utile lo facciamo
internamente puoi anche inserire Kate con
vault utilizzando un certificato e così è
il rovescio della medaglia delle cose così in aggiunta
essere in grado di generare certificati
e poi scrivi quelli su disco che puoi
autenticamente autenticato con Vault usando a
certificato con il certificato dei miei clienti
scambiare chiave pubblica privata quei tipi
di cose con cui puoi autenticarti
vault usando github è così il nostro
roba interna funziona così abbiamo persone
che sono in github e solo persone che
sono in squadra sono in grado di avere accesso root
per volgere tutti gli altri ha che è
la tua app per sviluppatori proprio di tutto ciò
significa che sono molto più piccoli e tu
avere il controllo completo sopra le mele che
si imposta in volt e basta dargli
una politica e tu dici che è tutto percorso
basato quindi se non vuoi che gli sviluppatori lo facciano
essere in grado di toccare il back-end AWS è
negato per impostazione predefinita in modo da poterli dare
accesso a un punto particolare e per tanto tempo
come la loro chiave si adatta a quel ruolo
avranno accesso ad esso l’unico
l’eccezione è la chiave di root o la route
comunque è iniziale 5 o 100 o uno
accesso non classificato, tutto è registrato
e controllato, ma di solito è
raccomandato di prendere quella chiave di root
e lo metti su come un drive USB e a
sicuro e poi ti dai come in sospeso
paziente sulla password del nome
autenticazione agli operatori e tu puoi
legarli ancora a una pseudo politica ma
non hanno quella credenziale di root
che è come le chiavi del regno
okay riguardo alla revoca dell’accesso di
potenziale degli anziani la quantità rimanente è
un lavoro di base richiesto e farlo essere
ripristina okay, quindi la domanda è
riguardo al rinnegamento dei segreti è il quorum
richiesto la risposta è no , parlerò
le elezioni dei leader in un secondo sono
richieste ackles sì sì avete
quindi tutto ciò che è coinvolto è un breve quindi il
il percorso è molto specifico così come Postgres
creds read-only devi avere accesso
a uno quell’elemento in modo da poter revocare
un token che sei una chiave che hai
creato in modo da poter revocare qualsiasi cosa io
creato qui mi capita anche di essere registrato
in quanto root to vault in questo momento così io
posso cancellare qualsiasi cosa se sono loggato come
uno sviluppatore posso cancellare cose così
Ho creato e cose che cadono
il mio albero quindi c’è un comando chiamato come
revocare l’albero e loro che lo faranno letteralmente
revocare tutto ciò che hai creato, ma io
non può revocare le chiavi di qualcun altro se non
Sono sopra di loro quindi è molto simile a
come una gerarchia organizzativa in a
in che modo il tuo terzo punto non è stato così una volta
sono cancellati sono cancellati che puoi
generare nuovi e l’idea è che
allo stesso modo che gettiamo via
l’infrastruttura parla di mutabile
infrastruttura che gettiamo via
infrastruttura stiamo iniziando a pensare
sui segreti allo stesso modo che abbiamo
questi segreti generati dinamicamente e
non ci interessa davvero quale sia il database
la password è valida finché è valida
accidentalmente ti revochi una chiave solo tu
reauthorize l’accesso e il
l’applicazione genererà appena nuovo
credenziali e tu sei come a posto
qualunque sia la nuova password, io no
cura che quelle password abbiano un livello molto alto
grado di entropia per quanto riguarda il quorum
richiesto e così vault sosterrà hae
modalità o stai parlando del quorum
su persone o quorum sui computer
okay, nessun quorum di persone non lo è
coinvolto l’unica volta in cui è stato raggiunto un quorum di
le persone sono coinvolte quando è il vault
qualificato
prende qualunque sia la soglia chiave
per sbloccare il vault fino al quorum
va con un inseguimento di tutto ciò che supporta
a che ma deve essere supportato da a
back-end che supporta l’elezione del leader
così console zookeeper penso che siano i
solo due che possono fare un che
ed è un essere molto primitivo che siamo
andando a migliorarlo in futuro
ma non hai bisogno di un quorum per farlo
qualsiasi cosa così uno di loro è eletto a
leader che i seguaci inoltreranno
richieste al caposaldo 0-3 lo faremo
avere alcune richieste di lettura che il
il follower risponderà a prendere
il carico dal leader ma scrivi
richiesta cadere al leader se
il leader va giù sai qualcosa
come blocco del consiglio o blocco dello zoo
eleggerei solo un nuovo leader e poi
la richiesta inizierà a destra quindi è molto
algoritmo di elezione di base, ma tu sei solo
mai scrivere su un server e in questo momento
avrai solo una lettura da un server
a meno che tu non stia correndo come vault
Lasser altri commenti di domande
preoccupazioni dei reclami
beh, non ho nient’altro
libero di trovarmi sarò in giro per il
avanti come quattro o cinque ore e poi io
devo andare a prendere un volo per tornare negli Stati Uniti
ma sentitevi liberi di mandarmi un ping su Twitter o
puoi mandarmi una email Sono un marchio di Seth sul
internet I’m South Fargo all’hash Gorp
quindi se avete domande o volete
follow-up pubblicherò la demo
materiali probabilmente su github da qualche parte
e lo cinguerò presto
se ti interessa immergerti nel mio
script di shell terribili sei più di
benvenuto a fare così forte grazie
tu
Please follow and like us: