Nos complace anunciar Secrets Store, la nueva solución de gestión de secretos de Cloudflare.
Se trata de un almacén de secretos cuya finalidad es exactamente esa: almacenar secretos. Los secretos son variables que utilizan los desarrolladores y que contienen información confidencial, a la cual solo los usuarios y sistemas autorizados deberían tener acceso.
Si estás desarrollando una aplicación, hay distintos tipos de secretos que necesitas gestionar. Cualquier sistema debería estar diseñado para tener datos de identidad y autenticación que verifiquen alguna forma de identidad a fin de otorgar el acceso a un sistema o una aplicación. Por ejemplo, los tokens de API para realizar solicitudes de lectura y escritura a una base de datos. Si estos tokens no se almacenan de forma segura, esto podría llevar al acceso no autorizado a la información, ya sea de forma intencional o accidental.
Con la gestión de secretos hay mucho en juego. Cualquier vulnerabilidad en el almacenamiento de estos valores podría poner los datos en riesgo o causar una fuga de datos. La peor pesadilla de cualquier administrador de seguridad.
Los desarrolladores centran su atención principalmente en crear aplicaciones, quieren desarrollarlas rápidamente, quieren que su sistema ofrezca un buen rendimiento y quieren que sea escalable. Para ellos, la gestión de secretos debe ofrecer facilidad de uso, rendimiento y fiabilidad. Por otro lado, los administradores de seguridad son los encargados de garantizar la seguridad de estos secretos. Su responsabilidad es proteger la información confidencial y garantizar el cumplimiento de las prácticas recomendadas de seguridad, así como gestionar las consecuencias de cualquier incidente como una filtración o fuga de datos. Su tarea es verificar que los desarrolladores de su empresa realizan sus tareas de desarrollo con seguridad y fiabilidad.
Para que los desarrolladores puedan desarrollar de forma rápida y que los administradores de seguridad estén tranquilos, las empresas deben adoptar una solución de gestión de secretos segura y de gran fiabilidad. Debería ser un sistema que garantice que la información confidencial se almacena con las máximas medidas de seguridad, al mismo tiempo que mantiene la facilidad de uso para que los equipos de ingeniería puedan desarrollar con eficiencia.
Por qué Cloudflare desarrolla un almacén de secretos
La misión de Cloudflare es mejorar Internet. Eso significa un Internet más seguro. Reconocemos que nuestros clientes necesitan un repositorio centralizado y seguro donde almacenar los datos confidenciales. En el ecosistema de Cloudflare, hay distintas ubicaciones donde los clientes deben almacenar y acceder a tokens de API y de autorización, secretos compartidos e información confidencial. Nuestra tarea es facilitar a los clientes cómo gestionar estos valores de forma segura.
La necesidad de la gestión de secretos va más allá de Cloudflare. Los clientes tienen en todas partes datos confidenciales que deben gestionar: en su proveedor de nube, en su propia infraestructura, en las máquinas. Queremos que nuestra solución Secrets Store sea una solución integral para todos los secretos de nuestros clientes.
La evolución de los secretos en Cloudflare
En 2020, lanzamos las variables de entorno y los secretos para Cloudflare Workers, que permiten a los clientes crear y encriptar variables en sus scripts de Workers. De esta forma, los desarrolladores pueden ofuscar el valor de una variable para que ya no esté disponible en texto sin formato y solo Workers pueda acceder a ella.
La adopción y utilización de estos secretos está creciendo rápidamente. Ahora tenemos más de tres millones de scripts de Workers que hacen referencia a variables y secretos gestionados mediante Cloudflare. Nuestros clientes nos han comentado repetidamente que el ámbito de estos secretos es demasiado estricto.
Hoy en día, los clientes solo pueden utilizar una variable o un secreto en la instancia de Worker con la que está asociado. Pero los clientes tienen secretos que comparten en distintas instancias de Workers. No quieren tener que volver a crear estos secretos y dedicar tiempo a asegurarse de que están sincronizados. Quieren secretos a nivel de cuenta que se puedan gestionar desde una ubicación única, pero a los que se pueda hacer referencia en múltiples scripts y funciones de Workers.
Además de Workers, hay muchos casos de uso de secretos en los servicios de Cloudflare.
En nuestro firewall de aplicaciones web (WAF), los clientes pueden crear reglas que busquen encabezados de autorización para otorgar o denegar el acceso a las solicitudes. Actualmente, cuando los clientes crean estas reglas, colocan el valor de los encabezados de autorización en texto sin formato. Por lo tanto, cualquier persona con acceso al WAF en la cuenta de Cloudflare puede ver su valor. Nuestros clientes nos han comentado que, incluso a nivel interno, los ingenieros no deberían tener acceso a este tipo de información. En su lugar, nuestros clientes desean tener una ubicación única donde gestionar el valor de este encabezado o token, de forma que solo los usuarios autorizados puedan ver, crear o rotar este valor. Así, al crear una regla WAF, los ingenieros pueden simplemente hacer referencia al secreto asociado, p. ej. "account.mysecretauth". De esta forma, ayudamos a nuestros clientes a proteger su sistema al reducir el ámbito de acceso, y mejoramos la gestión de este valor al mantenerlo actualizado en una ubicación única.
Con el rápido desarrollo de nuevos productos y funciones de Cloudflare, sabemos que cada vez hay más casos de uso para una solución de gestión de secretos centralizada. Una que se pueda utilizar para almacenar tokens de servicio de Access o secretos compartidos para Webhooks.
Con la nueva solución Secrets Store a nivel de cuenta, nos complace proporcionar a los clientes las herramientas que necesitan para gestionar los secretos en los servicios de Cloudflare.
Protección de Secret Store
Un almacén de secretos requiere la aplicación de una serie de medidas, que nos comprometemos a proporcionar a nuestros clientes.
En primer lugar, les proporcionaremos las herramientas que necesitan para restringir el acceso a los secretos. Tendremos permisos con distintos ámbitos que permitirán a los administradores elegir qué usuarios pueden visualizar, crear, editar o eliminar secretos. También tenemos previsto añadir el mismo nivel de granularidad a nuestros servicios. Así, nuestros clientes podrán establecer si se debe permitir solo a una instancia de Worker especifica acceder a un secreto determinado y solo a un conjunto de reglas de firewall concreto a un secreto específico.
A continuación, proporcionaremos a nuestros clientes amplias auditorías que les permitirán realizar un seguimiento del acceso y de la utilización de sus secretos. Los registros de auditoría son fundamentales para los administradores de seguridad. Se pueden utilizar para alertar a los miembros del equipo acerca de que un servicio no autorizado ha utilizado un secreto o de que se está accediendo a un secreto en riesgo cuando no se debería. Proporcionaremos a los clientes registros de auditoría para cualquier evento relacionado con los secretos, para que los clientes puedan ver exactamente quién está realizando cambios en los secretos y qué servicios acceden a ellos y cuándo.
Además de la seguridad integrada en la solución Secrets Store, proporcionaremos a los clientes las herramientas para rotar las claves de encriptación bajo demanda o con la frecuencia más adecuada para su postura de seguridad.
Versión beta
Nos complace poner la solución Secrets Store a disposición de nuestros clientes. Si te interesa utilizarla, completa este formulario y nos pondremos en contacto contigo cuando esté lista para su uso.