Лекция 226: Защита конфиденциальных данных: использование Vault

В этой лекции мы погрузимся в мир защиты "сокровищ" нашего приложения: секретов, токенов, ключей API и других конфиденциальных данных. Сегодня будем говорить о HashiCorp Vault!

Представьте: вы случайно запушили в GitHub пароль от базы данных. Через 30 минут ваш продакшен упал — кто-то майнит криптовалюту на ваших серверах.

А теперь представьте, что у вас:

• 20 микросервисов
• В каждом — свои пароли и ключи
• Три окружения (dev, test, prod)
• Команда из 10 разработчиков

Как обычно хранят секреты (и почему это плохо)

Вариант 1: В коде

String dbPassword = "super_secret_123"; // Пожалуйста, не делайте так!

Рано или поздно это попадет в Git. И тогда... см. историю про майнинг криптовалюты выше.

Вариант 2: В конфигурационных файлах

database:
password: another_secret_123 # Тоже не лучшая идея

Те же проблемы, что и с кодом. Плюс нужно как-то раздавать эти файлы разработчикам.

Вариант 3: В переменных окружения

export DB_PASSWORD=yet_another_secret

Уже лучше! Но как управлять сотней переменных на десятке серверов?

HashiCorp Vault спешит на помощь

Vault — это как сейф для ваших секретов. Только умный! Давайте посмотрим, что он умеет:

• Знает, кто и когда открывал сейф
• Может сам менять ключи и пароли
• Умеет работать с разными типами секретов
• Интегрируется со Spring Boot (и не только)

Что умеет Vault?

1. Хранит секреты централизованно

• Больше никаких .env файлов на каждом сервере
• Все секреты в одном месте
• Доступ строго контролируется

2. Генерирует временные данные

{
"db_credentials": {
"username": "app_1234",
"password": "temp_pass_5678",
"ttl": "1h"
}
}

Через час эти данные станут недействительными. Автоматически!

3. Ведет аудит

• Кто запросил пароль от базы?
• Когда последний раз обновляли API-ключи?
• Какой сервис использует устаревшие креды?

Интеграция со Spring Boot

Spring Boot + Vault = ♥️

Выглядит это примерно так:

spring:
cloud:
vault:
host: vault.company.com
token: my-token

@Value("${secret.db.password}")
private String dbPassword; // Магически получаем из Vault!

Основные функции Vault

Vault предоставляет огромное количество возможностей, вот некоторые из них:

Vault поддерживает различные backend-хранилища (как файловые системы, так и облачные провайдеры) для управления секретами.

Альтернативные решения

А почему именно Vault? Давайте сравним с другими популярными решениями:

AWS Parameter Store

• Отлично работает в AWS
• Бесплатный (почти)
• Но привязан к Amazon

Apache ZooKeeper

• Проверен временем
• Отлично масштабируется
• Но сложный в настройке
• И секреты — не его основная задача

Etcd

• Любимец Kubernetes
• Быстрый и надежный
• Но больше подходит для конфигураций, чем для секретов

HashiCorp Vault

• Создан специально для секретов
• Отлично работает где угодно
• Умеет в динамические секреты
• Интегрируется со всем на свете

Типы хранилищ в Vault

Key-Value (KV)

• Простое хранилище ключ-значение
• Идеально для паролей и API-ключей
• Поддерживает версионирование

База данных

• Динамические креды для БД
• Автоматическая ротация паролей
• Поддерживает PostgreSQL, MySQL, MongoDB и другие

PKI

• Генерация SSL/TLS сертификатов
• Управление корневыми и промежуточными CA
• Автоматическое обновление

Чуть подробнее об интеграции HashiCorp Vault со Spring

Spring Boot использует конфигурации, заданные в application.properties или application.yml, чтобы подключиться к Vault. После подключения приложение может загружать секреты, как если бы это были обычные свойства.

Пример использования:

1. Секреты в Vault (например, в пути secret/data/myapp):

   
   {
       "data": {
           "username": "admin",
           "password": "s3cr3t"
       }
   }
   

2. Доступ к секретам в Spring Boot:

   
   spring:
     cloud:
       vault:
         uri: http://localhost:8200
         token: my-root-token
         kv:
           enabled: true
           backend: secret
           default-context: myapp
   

   Секреты теперь доступны в приложении как свойства username и password. Например, вы можете использовать их в @Value:

   
   public class Credentials {
   
       @Value("${username}")
       private String username;
   
       @Value("${password}")
       private String password;
   
       // Геттеры, сеттеры или просто метод для логики
   }
   

Какие проблемы решает Vault?

1. Безопасность

• Секреты не хранятся в коде
• Каждый получает только нужные ему данные
• Все действия логируются

2. Автоматизация

• Автоматическая смена паролей
• Интеграция с CI/CD
• API для всего

3. Масштабируемость

• Работает и с одним сервисом, и с тысячей
• Поддерживает кластеризацию
• Интегрируется с облаками

Что дальше?

HashiCorp Vault — это мощный инструмент, позволяющий максимально безопасно управлять конфиденциальными данными. Настроив его в вашем приложении, вы не только обеспечите надёжную защиту данных, но и сможете спать спокойно, зная, что никакой API-ключ случайно не засветится в вашем репозитории. На следующей лекции мы:

• Установим Vault
• Настроим интеграцию со Spring Boot
• Научимся хранить и получать секреты
• Посмотрим на все это в действии