隐私管理在保护必要信息安全和远离攻击者方面起着重要作用，在本文中，我们将讨论什么是隐私以及如何安全地存储它们。隐私管理很重要，因为密码泄露会导致严重的数据泄露，而随着越来越多的工作数据存储在云端，身份验证的安全性就显得尤为重要。隐私管理在保护基本信息安全和远离攻击者方面发挥着重要作用。妥善保管隐私（例如密码和其他身份验证凭据）在理想情况下允许合适的人访问重要资产并使组织受到攻击。可能性被降到最低。然而，隐私也可能是一把双刃剑，尤其是当它没有像组织希望的那样隐藏得那么好时。什么是隐私？在本文中，术语“隐私”是指用于访问需要身份验证的系统的敏感信息。这包括登录凭据，例如用户名、电子邮件地址和密码，以及访问令牌和私钥。SolarWinds漏洞提供了一个很好的例子，说明隐私是多么脆弱，因为攻击涉及使用弱密码。密码强度密码强度可以通过其长度和所用字母的大小来衡量。使用这些值，我们可以计算暴力攻击所需的最大猜测次数。理论上，最大猜测次数定义为xy，其中x代表字母表中的字符数，y代表密码中使用的字母数，结果将是数千亿种可能的组合。但是，此计算也有例外。当使用字典中的常用词时，密码更容易被猜到。通常，当密码使用更丰富的字母表中的更多随机字符时，密码会变得更安全。此外，每次密码重复使用都会降低安全性。破解给定长度的密码所需的最大暴力尝试次数不幸的是，长而强的密码需要记住一长串随机字符，这对用户来说自然是一个挑战，尤其是在考虑多个帐户时。攻击者使用的密码字典示例即使用户记住了一个冗长的密码，随处使用的趋势也会削弱其强度。密码重用是另一个安全风险。如果发生违规，重复使用的密码可能会危及其他服务，从而导致更大的影响。虽然强密码仍然很重要，但我们不得不质疑这些类型的隐私是否是我们保护对关键任务资产和系统的访问的唯一可靠方式。密码验证方式是唯一的登录方式吗？密码的替代方案幸运的是，有密码的替代方案。例如，使用非对称加密和私钥的身份验证已成为SecureShell(SSH)服务的标准，这极大地限制了隐私被暴力猜测的风险并强制执行适当的隐私存储。虽然这种方法仍然需要令牌来验证用户，但它对人类记忆的依赖要少得多。例如，我们还可以使用保险库，它将存储凭据并提供生成隐私的工具。这些工具还可以防止创建弱密码和重复使用密码。虽然它避免了使用单独密码的陷阱，但在集中式存储解决方案中保护隐私会带来所有凭据和密码在一次入侵中被泄露的风险，强调需要将此类存储视为保险库。确保对该保管库的访问安全至关重要，强烈建议使用生物识别或多因素身份验证(MFA)授权作为额外的安全措施。MFA本身显着降低了被盗的可能性，即使帐户的凭据被泄露，因为它需要通过移动应用程序进行另一种形式的身份验证。显着降低用户手机和隐私泄露的概率。如何处理隐私过期如果您一直使用计算机，您可能会在一段时间后被迫更改密码。虽然有些人认为这是一种不便，但让隐私过期是有充分理由的。隐私可以在一段时间后被破解，它们的有效期越长，一些攻击者就越有可能成功找到窃取和泄露数据的方法。隐私存储的类型现在我们来谈谈存储隐私的不同方式。正如我们之前提到的，私人商店应该被视为一个虚拟保险库，因此是安全的，因为破解它将允许攻击者访问密码和与之关联的帐户。工作流中必须相互通信的系统数量正在增加。他们必须安全地这样做，并且必须首先验证来自用户的每个请求。如果用户不想每次都输入凭据，或者只记住它们不切实际，则必须存储凭据。有多种存储凭据的方法：明文：最不安全的类型，对文件的读取访问权限将允许访问系统。Hash：主要用于服务器存储私人指纹，防止入侵者获取明文密码。在这种方法中，研究人员强调在加密算法之上使用盐或另一个哈希层，使潜在的攻击者更难解密。编码：另一种形式的明文，例如base64编码的凭据，由于字符不可读。加密：凭据使用另一个密码加密，降低了未经授权泄露的可能性和影响。可以看到加密文件的人在不知道对方隐私的情况下将无法解密文件并获得所需的凭据。从以上四种类型中，很容易推导出哪一种是最有益和最安全的存储隐私。但是，除了这四种类型之外，组织还必须考虑在存储凭据时可能影响其计划的其他因素。要考虑的其他应用程序处理私有存储的一种方法是使用外部应用程序，例如Vault。Vault是一个私密信息获取工具，可以帮助你管理一些私密信息，比如API密钥、密码、身份验证等。Vault提供了一个统一的接口来访问所有的私密信息，同时提供严格的访问控制和记录详细的审计日志。Vault的主要优点是它以加密形式存储隐私的方式，以及它能够从一个地方更改隐私并将更改反映到多个应用程序而无需更改代码。但是，保管库的访问令牌必须存储在设备上或动态获取。在后一种情况下，通过MFA确认的动态访问令牌是最合适的。因此，MFA并非在所有情况下都是最佳选择，尤其是对于高度自动化的系统。明文加密的问题并非每个隐私存储应用程序都默认以加密形式存储凭据，文档应验证存储的隐私是否已加密，并且应检查它们以防止利用错误配置问题。在某些情况下，以明文形式存储隐私被认为是一个漏洞。一般来说，明文是一个不安全且糟糕的设计决策，应该重新考虑。我们随后对DevOps和云问题的许多讨论也围绕着明文展开。KubernetesSecrets存储示例，默认情况下未加密存储高度信任最后，即使私人信息以加密形式存储，组织仍然需要在其人员中实现并保持一定程度的信任，因为有些人仍然需要知道或者维护有一个解密密钥。所有类型的组织都应该知道隐私必须只对少数人开放。这意味着只对有正当理由访问该存储或系统的用户或应用程序保持读取访问权限。加密隐私增加了额外的安全性，攻击者必须更加努力地破解凭据。隐私传输除了存储的隐私性外，对于必须配置和传输的服务，安全也是必要的。需要强调的是，移动私人信息是正常的，因此应该通过安全（即加密）通道进行声明和完成。安全通道意味着使用默认安全的协议，例如SSH或HTTPS。使用基于纯文本的协议（如HTTP、SMTP、FTP）传输隐私可以让恶意攻击者拦截通信并利用泄漏的隐私。应该提到的是，将隐私放入源代码控制管理(SCM)系统也不是一个好主意，因为它允许更多的人获得不必要的访问权限。涉及公共存储库的案例给SCM增加了另一层危险。如果一个组织坚持使用SCM，他们应该使用加密隐私的工具（例如，git-secret）来防止使用SCM作为供应链攻击入口点的可能性。隐私影响接下来探讨在当今开发技术（即DevOps和云）的背景下使用不安全隐私存储的影响。我们还简要描述了一个真实场景，在该场景中，攻击者在受感染的设备中寻找凭据。隐私和DevOps今天的大多数人习惯于认为开发和“本地”环境本质上是安全的。示例包括以未加密形式存储隐私、仅设计为在安全环境中运行的软件以及默认情况下不强化安全功能。这为用户提供了额外的便利，因为它消除了对复杂安全配置的需求。然而，权衡是这些做法如何增加安全事件的风险。我们已经看到了供应链攻击、VPN安全性薄弱、VPN漏洞等的影响。同样重要的是要注意“本地”环境不再是本地，因为我们看到越来越多的公司转向云端。存储在使用硬件加密(HW)的设备上的明文隐私同时存储在连接到云的设备上。简而言之，无论是否在云中，以明文形式存储隐私都是不安全的。举一个DevOps世界中的真实例子，VisualStudioCode最近才在2021年1月发布的1.5353版本中提供了对私有存储的支持。在此更新之前，没有官方API可用于以更详细的方式存储私有信息。安全的方式，因此开发人员有责任安全地实施它。以明文形式保存TwitterAPI隐私的扩展程序示例经过后续研究，我们发现其他338个扩展程序也存在同样的问题，以明文形式存储隐私。这些第三方扩展包括绑定到多个云服务提供商(CSP)和SCM系统。除了这些问题之外，攻击者还专注于凭据收集，这将使VisualStudioCode用户很容易成为此类攻击的目标。隐私和云威胁随着越来越多的公司开始采用云技术，攻击者正在改进他们的有效负载并对云服务凭证进行有针对性的搜索。重要的是要考虑如何通过使用不同的存储机制来增强安全性，特别是因为私人信息通常以明文形式存储，因为用户认为拥有安全的环境是理所当然的。以明文形式公开隐私使攻击者更容易窃取它们。在云中运营时，组织必须根据共同责任模型运营。即使在云中，他们使用的凭据的安全性仍然是他们的责任。正如我们之前提到的，在所有参与保密的人员之间实现高度信任也很重要。云提供商总是引用共享责任模型，这在用户配置错误的情况下尤其适用。这种分担责任的立场是必要的，因为没有软件是100%安全的。例如，之前的一篇博文描述了攻击者如何在破坏实例后从AWS元数据服务请求凭证或私人??信息。这突出了攻击者如何在破坏它们以进行进一步攻击后访问云实例上的凭据。攻击后在AWS实例中获取凭证此外，在更通用的方法中，CSP命令行工具会在首次配置时生成授权令牌，并将这些令牌以明文形式存储在文件中或作为系统变量。了解此功能后，攻击者可以开发恶意软件，在破坏实例后搜索这些凭据令牌。根据被盗凭证令牌的访问级别，攻击者可以继续攻击并在内部传播更多有效载荷。获取多个CSP凭证在分析过程中引起我们注意的一个行为是攻击者如何在攻击的不同点开始使用本机CSP工具，而不是开发自己的工具或使用攻击。在这种情况下，攻击者将拥有与服务相同的授权，具体取决于用户的配置。这种行为意味着他们正在学习本机工具的所有可能选项和参数并滥用它们。图7显示了他们的脚本注释行与本机工具文档，这使我们认为攻击者正在动态学习。在像Lambda这样的内部环境中，使用本机工具是预先授权的，因此如果攻击者成功将工具上传到其中，他们将拥有与服务相同的权限。攻击者使用本地工具从受害者那里获取更多数据，目的是横向传播。真实攻击场景下面是一个真实的攻击场景，突出了适当隐私存储的重要性。我们已经看到攻击者在受感染的设备中寻找凭据，使用能够感染其他设备的恶意软件，前提是最初受感染的设备在其系统中存储了来自其他设备的凭据，但前提是攻击者能够访问修改后的云功能服务。SSH凭据上的蠕虫行为示例最近的一项调查还显示，攻击者正在适应最新技术并积极尝试利用基础架构即代码(IaC)软件（例如Ansible、Chef和SaltStack工具）来分发他们的有效负载提供尽可能多的设备.使用IaC工具感染托管基础设施该视频展示了潜在攻击者如何使用TeamTNT工具集中的工具突破Docker容器。保护隐私到目前为止，组织必须认识到隐私如何在其守门人角色中发挥更深层次的作用。这就是为什么最好假设攻击者一直在寻找暴露这些秘密的方法，并相应地做好准备。组织不应该假设存储在云中的数据已经受到保护免受风险，并使用特定于云的安全解决方案来保护他们的云原生系统。本文翻译自：https://www.trendmicro.com/en_us/research/21/f/secure_secrets_managing_authentication_credentials.html
