Cifrado de Python

Photo by Towfiqu barbhuiya on Unsplash

Una perspectiva de DevOps sobre la protección de los parámetros de implementación Public-key

La compilación de código y la automatización de la implementación han allanado el camino para muchas cosas grandiosas. Atrás quedaron los días de lanzamientos mensuales de códigos manuales; Las canalizaciones modernas de CI/CD ahora tienen la capacidad de liberar cada compromiso de código que pasa las pruebas automatizadas en los entornos de desarrollo y preparación para la producción.

Para que esta magia suceda, los equipos de DevOps deben crear un código que sea independiente del entorno. Se debe implementar exactamente el mismo código en DEV, TEST, STAGE y luego en PROD, pasando los parámetros adecuados en el momento de la implementación para que la solución se comporte correctamente. La arquitectura de microservicios y el desacoplamiento de subcomponentes independientes que deben descubrirse entre sí después de implementarse para trabajar juntos hacen que esta sea una tarea muy desafiante. Hacer un seguimiento de estos parámetros de implementación, el "pegamento" que hará que todos estos componentes ingenuos funcionen juntos en cualquier entorno, se ha convertido en un nuevo desafío en sí mismo.

Si bien es de conocimiento común, probablemente no esté de más repetirlo una vez más: nunca, bajo ninguna circunstancia, debe incrustar credenciales de ningún tipo, incluidas las claves de API, en su código o en una imagen de contenedor. Las credenciales cargadas en un repositorio de código o registro de imágenes deben considerarse comprometidas y modificadas de inmediato.

Pero puede preguntarse: si no puede realizar un seguimiento de estos preciosos parámetros de implementación en un repositorio de código fuente, ¿qué puede hacer? Mantener estos valores críticos en un repositorio con control de versiones es una buena idea, pero siempre que estén encriptados. La criptografía de clave pública/privada proporciona la mejor solución porque el secreto cifrado no se puede descifrar sin la clave privada, por lo que se pueden cargar de forma segura en un repositorio privado de GitHub siempre que la clave de descifrado no lo sea.

Los buenos archivos de configuración antiguos o archivos “.INI” son sorprendentemente adecuados para almacenar parámetros de implementación porque permiten almacenar el mismo nombre de clave con diferentes valores en varias secciones que representan los diversos entornos. Por ejemplo:

El valor del nombre de usuario de mi base de datos db_user será el mismo para todas las secciones (DEFAULT), pero el valor de db_pwd puede ser diferente en DEV que en PROD.

La biblioteca de Python rsa_crypto y la utilidad de línea de comandos le permiten combinar la flexibilidad de almacenar valores en archivos de configuración con la seguridad del cifrado de clave pública/privada. Los archivos binarios autónomos para Windows, Mac y Linux también están disponibles para su comodidad.

El primer paso es generar nuevas claves:

De manera predeterminada, la herramienta crea un nuevo par de claves RSA de 4096 bits (secreto) y lo guarda en un solo archivo, protegido por una contraseña que cumple con el estándar PKCS#8 y utiliza la función de derivación de clave scrypt para frustrar los ataques de diccionario de fuerza bruta. La clave está segura con una buena contraseña, pero aún así nunca debe almacenarse en un depósito de código.

Tener otra contraseña no se presta bien a la automatización de la implementación. La herramienta también proporciona una forma de extraer ese archivo protegido con contraseña en archivos separados de clave pública y privada que no requieren contraseña.

El archivo de clave pública se puede distribuir de forma segura a cualquier persona que necesite poder cifrar valores, no se puede utilizar para descifrar. Esta es una excelente opción, ya que las credenciales generalmente las administra un grupo separado en la mayoría de las organizaciones.

Por el contrario, la clave privada debe protegerse con extrema precaución, ya que puede usarse para descifrar cualquier valor sin ninguna contraseña. La herramienta buscará estos archivos clave en el directorio actual (desde el que está ejecutando el comando), el directorio donde se encuentra el script, así como en el directorio de inicio del usuario. También buscará los archivos clave como variables de entorno, lo que podría ser una mejor opción en muchas situaciones.

El archivo de clave privada se puede eliminar de forma segura, siempre se puede volver a generar a partir del archivo de clave cifrada con contraseña:

La herramienta también se puede usar con la opción -k para especificar un prefijo de nombre de clave diferente, lo que permite a los usuarios tener varias claves para diferentes entornos o propósitos o credenciales administradas por diferentes equipos:

Estos parámetros get y set del script también se pueden usar para almacenar y recuperar valores cifrados en un archivo de configuración. El archivo de configuración ya debe existir:

La estructura del archivo es bastante simple, contiene secciones delimitadas por corchetes [MI_SECCIÓN]. Tenga en cuenta que el nombre de la sección puede distinguir entre mayúsculas y minúsculas. La sección [DEFAULT] se utiliza de forma predeterminada.

Cada sección contendrá varias "opciones" y valores (pares clave/valor). Solo se cifrará el valor, el nombre de la opción permanecerá en texto no cifrado.

Esta estructura es muy adecuada para realizar un seguimiento de los valores que deben ser diferentes según el entorno, como para realizar un seguimiento de las contraseñas de la base de datos en entornos DEV, TEST y PRODUCTION.

Para guardar un valor de una opción denominada database_password en la sección DEV utilizando la clave de cifrado predeterminada:

Si no especifica un valor, la secuencia de comandos le pedirá el valor para que no esté visible en el historial de la línea de comandos. Opcionalmente, si lo prefiere, también puede especificar el valor como un parámetro de línea de comando usando el parámetro -v.

Para descifrar el valor:

Tenga en cuenta que en el ejemplo anterior, la clave privada rsa_private.pem nos permitió descifrar los datos sin solicitar una contraseña. Una vez más, tenga mucho cuidado porque cualquier persona con ese archivo puede descifrar los datos . Si la clave privada no está presente, el script solicitará una contraseña para abrir el archivo de par de claves protegido rsa_key.bin.

Ahora configuremos y obtengamos la contraseña PROD:

El contenido del archivo de configuración .rsa_values.conf se verá así:

La herramienta también se puede usar para cifrar archivos completos, como un archivo de configuración .yaml del almacén de parámetros de Kubernetes, mediante la opción -f.