Безопасность
Управление секретами: обзор на свободное вспоминание
Вспоминание побеждает перечитывание. На каждую подсказку проговорите или запишите полный ответ по памяти, прежде чем открыть эталон, — именно усилие припоминания закрепляет материал, когда вы посреди инцидента в два часа ночи.
Восстановите ключевые механизмы юнита — почему закоммиченный секрет уже утёк, лестницу зрелости, динамические короткоживущие креды, envelope encryption и least privilege — не подглядывая в урок.
- 01Коллега закоммитил пароль БД, потом удалил строку и сделал push. Объясните, почему это не решает проблему, и каково реальное устранение.
- 02Проведите коллегу вверх по лестнице зрелости секретов и объясните, почему каждая ступень лучше, закончив тем, почему цель — короткоживущие динамические секреты.
- 03Объясните envelope encryption с KMS и почему она масштабируется лучше, чем вызов KMS на самом payload.
- 04Что значит least privilege применительно к секретам и как уникальные идентичности по сервисам меняют разбор инцидента?
- 05Различите шифрование at rest и шифрование in transit для секретов и объясните, почему secret manager нужны оба плюс контроль доступа.
- 06Почему TTL динамического секрета называют «радиусом поражения» и что остаётся долгоживущим даже при использовании динамических секретов?
Если вы смогли восстановить каждый ответ по памяти, вы держите стержень юнита: закоммиченный секрет уже утёк, и завершает это только ротация, потому что история append-only; лестница зрелости идёт от захардкоженного к .env, к manager и к динамическим короткоживущим кредам; envelope encryption позволяет KMS защищать данные на масштабе, оборачивая локальный data key; least privilege с уникальными идентичностями ограничивает и атрибутирует взлом; шифрование at rest и in transit защищают разные угрозы и оба идут в паре с контролем доступа; а TTL — это радиус поражения, тогда как root-креда движка остаётся тем долгоживущим риском, который надо охранять.