Prístup na servery bez toho, aby ho niekto držal v ruke

Problém

Keď dáte jazykovému modelu prístup na servery, musíte odpovedať na otázku, ktorú položí každý bezpečnostný audítor: čo bráni tomu, aby zle pochopený pokyn zmazal produkčnú databázu. Odpoveď „model je opatrný" nie je odpoveď.

Druhý problém je praktický a týka sa ľudí, nie agentov. Kľúče k celej infraštruktúre bývajú na notebooku administrátora. Ten notebook cestuje, pripája sa na cudzie siete a raz za čas sa stratí.

Riešenie

Obidva problémy má rovnaké riešenie: poverenia nepatria tomu, kto zadáva príkaz, ale medzičlánku, ktorý ho vykonáva.

Jump box je jediné miesto, kde sú SSH kľúče a adresy serverov. Sú uložené šifrovane a von sa nedostanú ani cez API. Agent aj človek majú k dispozícii iba HTTP rozhranie, cez ktoré požiadajú o reláciu na konkrétnom stroji.

Požiadavka nejde priamo. Administrátorovi príde notifikácia a relácia sa otvorí až po schválení. Beží ako tmux session s tvrdým časovým limitom, celý priebeh sa zapisuje do auditu a ktorúkoľvek reláciu možno okamžite ukončiť a odobrať prístup.

Pre človeka existuje tá istá infraštruktúra v podobe webového terminálu. Administrátor sa prihlási systémovým menom a heslom a pracuje priamo v prehliadači, aj z telefónu. Na jeho zariadení nezostane žiadny kľúč, pretože tam nikdy žiadny nebol.

Prečo to nie je „len ďalší webshell"

Rozdiel je v tom, čo sa deje, keď sa niečo pokazí. Pri klasickom prístupe cez SSH kľúč z notebooku je kompromitácia zariadenia rovná kompromitácii infraštruktúry a jediná obrana je vymeniť kľúče. Tu je odpoveď jedno tlačidlo: relácie sa ukončia, prístup sa odoberie a v audite je presne vidieť, čo sa stihlo vykonať.

Výsledok

Brána beží v produkcii ako neprivilegovaná služba a spravuje reálne Linux servery. Webový terminál nad tou istou infraštruktúrou umožňuje administráciu odkiaľkoľvek, kde je prehliadač a prihlasovacie údaje — a nič viac.