Sırlar — Parola Git'e Girerse Ne Olur?

Evin yedek anahtarını paspasın altına koyuyorsun, çünkü kolay. Paspası kaldıran herkes kapıyı açabilir. Anahtarı sonra oradan alsan bile, o arada kopyasını çıkaran olmuş olabilir.

Sır nerede yaşamamalı?

Bir sır kodun yanındaki bir ayar dosyasına yazılınca Git’e girer. Git her değişikliği saklar; dosyayı silmek yalnızca son hâli değiştirir, geçmişteki kopya yerinde kalır.

Docker imajı da benzerdir. Build sırasında verilen bir sır imajın katmanlarında kalır ve imajı çeken herkes onu okuyabilir.

Çalışırken, bir depodan

En sağlam yol bir sır deposu?Terimin tanımını açsır deposuParola, anahtar ve token gibi sırları saklayan ve uygulamaya çalışırken veren sistem; örneğin Vault ya da Kubernetes sırları.Sözlükte gör →dur: Vault ya da Kubernetes’in sırları gibi. Uygulama sırrı çalışırken, örneğin bağlanmış bir dosyadan okur; sır ne kodda ne imajda ne de ortam değişkenlerinde durur.

Bir sır sızarsa yapılacak tek doğru şey sır rotasyonu?Terimin tanımını açsır rotasyonuBir sırrı yenisiyle değiştirip eskisini geçersiz kılmak. Sızan bir sırrı güvenli hâle getirmenin tek yolu.Sözlükte gör →dur: yeni bir sır üretip eskisini geçersiz kılmak. Sır depodaysa bu, yeniden deploy etmeden yapılabilir.

Kendin gör

1. Varsayılanla oynat. Anahtar Git’te: dış ekip depoyu kopyalayınca anahtar da gitti; değiştirmek zahmetliydi.
2. “Commit öncesi sır tarayıcı”yı aç. Anahtar depoya hiç girmedi.
3. “Docker imajında” seç. İmajı çeken herkes anahtarı katmanlardan okuyabildi.
4. “Ortam değişkeni” seç. Açılış logu anahtarı düz metin olarak yazdı.
5. “Sır deposu” seç. Anahtar hiçbir yerde görünmedi ve yeniden deploy etmeden değişti.

Tuzaklar

Commit’i silmek yeterli sanmak: sır bir kez Git’e girdiyse, kopyalanmış her depoda ve önbellekte yaşamaya devam edebilir. Geçmişi temizlemek iyidir, ama sırrı değiştirmek şarttır.

Build sırasında sır vermek. İmajın içinde bir parola ya da token gerekiyorsa, onu katmana yazan bir build argümanı yerine BuildKit’in sır bağlamasını kullan; sır yalnızca o adımda görünür.

Her yerde aynı sırrı kullanmak. Test ve canlı aynı anahtarı paylaşırsa, test ortamındaki bir sızıntı canlıyı da açar. Her ortamın kendi sırrı olsun.

1
spring:
2
  config:
3
    # Each file under /run/secrets becomes a property: /run/secrets/card-network/api-key -> card-network.api-key
4
    import: "optional:configtree:/run/secrets/"
5

6
card-network:
7
  base-url: https://api.card-network.example
8
  # api-key comes from the mounted file, never from this file or the environment

1
spec:
2
  containers:
3
    - name: payment-service
4
      image: registry.bank.example/payment-service:1.42.0
5
      volumeMounts:
6
        - name: card-network
7
          mountPath: /run/secrets/card-network
8
          readOnly: true
9
  volumes:
10
    - name: card-network
11
      secret:
12
        secretName: card-network          # rotated in the store; the mounted file follows
13
        items:
14
          - key: api-key
15
            path: api-key

1
# The private Maven token is visible only during this RUN step, never in a layer.
2
RUN --mount=type=secret,id=maven_token \
3
    MAVEN_TOKEN=$(cat /run/secrets/maven_token) ./mvnw -B -q -DskipTests package

1
repos:
2
  - repo: https://github.com/gitleaks/gitleaks
3
    rev: v8.18.4
4
    hooks:
5
      - id: gitleaks          # refuses a commit that looks like it contains a key

Kendini sına