Quando as empresas falam sobre segurança, estão se referindo à prevenção da perda de dados e à automatização e integração segura de aplicativos.
Isso não pode ser feito sem saber quem está fazendo o quê com quais ativos, e é aí que entra o gerenciamento de identidade, como o HashiCorp Vault. O “quem” na equação se torna muito importante.
Certificados emitidos corretamente permitem segurança de ponta a ponta por meio de uma cadeia confiável de identidades.
Tal como acontece com a maioria dos objetivos de segurança, geralmente há tensão entre a necessidade de tornar as coisas seguras e a tentativa de realizar o trabalho real. A arte aqui é equilibrar os dois requisitos conflitantes. Uma forma de reduzir a carga do desenvolvedor é automatizar o máximo possível.
Neste blog, ilustraremos como o OpenShift junto com o Cert Manager e o HashiCorp Vault podem ser usados ​​para obter um processo automatizado e reproduzível para aumentar a segurança dos aplicativos.
Do ponto de vista do desenvolvedor, essa abordagem automatizada é fácil de usar e também é instrumentada para que saibamos o que está acontecendo e possamos tomar as medidas adequadas caso falhe.
O objetivo de uma autoridade certificadora (CA) é validar e emitir certificados. Uma Autoridade de Certificação pode ser uma entidade ou organização terceirizada que administra seu próprio provedor para emitir certificados digitais.
Uma autoridade de certificação intermediária é uma CA assinada por uma CA superior (por exemplo, uma CA raiz ou outra CA intermediária) e assina CAs (por exemplo, outra CA intermediária ou subordinada).
Se existir uma CA intermediária, ela será posicionada no meio de uma cadeia de confiança entre a âncora de confiança, ou raiz, e o certificado de assinante que está emitindo CAs subordinadas. Portanto, não use uma CA raiz diretamente?
Normalmente, a CA raiz não assina certificados de servidor ou cliente diretamente. A CA raiz é usada apenas para criar uma ou mais CAs intermediárias. O uso de uma CA intermediária é principalmente para fins de segurança e a CA raiz é hospedada em outro local seguro; off-line e usado com a menor freqüência possível.
Portanto, é melhor não expô-lo nos ambientes de destino e, em vez disso, emitir uma CA intermediária de vida mais curta. O uso de CA intermediária também se alinha às melhores práticas do setor.
Em grandes organizações, pode ser ideal delegar a responsabilidade pela emissão de certificados a diferentes autoridades de certificação para controles de segurança granulares apropriados para cada CA.
Por exemplo, o número de certificados pode ser demasiado grande para que uma única AC possa controlar eficazmente os certificados que emitiu; ou cada unidade departamental pode ter políticas e regras diferentes, tais como períodos de validade; ou pode ser importante diferenciar certificados para comunicação interna ou externa.