Sécurité des secrets

Les secrets contiennent les données les plus sensibles que vous confiez à Onagre : les identifiants de vos bases de données et de vos brokers. Cette page explique comment ils sont protégés, depuis leur enregistrement jusqu'à leur utilisation par un agent.

Au repos : deux niveaux de clés#

• Chaque organisation possède sa propre clé d'organisation, une clé aléatoire de 256 bits. Vos secrets sont chiffrés avec elle en AES-256-GCM, un chiffrement authentifié qui garantit à la fois la confidentialité et l'intégrité.
• La clé d'organisation est elle-même chiffrée par une clé maîtresse de la plateforme, conservée dans un coffre de secrets dédié, jamais dans la base de données. Les clés maîtresses peuvent faire l'objet d'une rotation.

Une copie de la base de données seule ne suffit donc pas pour lire un secret, et la clé d'une organisation ne donne aucun accès aux secrets d'une autre organisation.

Dans l'interface : en écriture seule#

La valeur d'un secret n'est jamais affichée ni renvoyée après son enregistrement : la liste n'affiche que son code, son type et sa version. Pour changer une valeur, vous la remplacez par une nouvelle version. Seuls les rôles Manager et Admin peuvent voir la liste des secrets et les gérer.

À l'usage : déchiffrés uniquement pour exécuter un contrôle#

Quand une sonde qui utilise un secret doit être exécutée, le Hub déchiffre la dernière version et l'envoie à l'agent privé qui exécute le contrôle, à l'intérieur de la connexion chiffrée TLS de l'agent. L'agent l'utilise en mémoire pour se connecter et ne l'écrit jamais sur disque.

Seuls les agents privés de votre organisation reçoivent vos secrets : ils ne sont jamais envoyés à l'agent public ni aux agents d'une autre organisation.

Les variables ne sont pas des secrets#

Les variables sont stockées et affichées en clair, par conception. Conservez les identifiants dans des secrets.

Ce qui vous revient#

• Donnez aux sondes des comptes de base de données et de broker en lecture seule, limités à ce dont le contrôle a besoin.
• Réservez le rôle Manager aux personnes qui doivent manipuler des identifiants — voir Équipe et rôles.
• Quand quelqu'un part ou qu'un identifiant fuite, changez le mot de passe côté base de données, puis utilisez Update value dans Onagre.