Zero Trust como metodología, aplicada mediante una identidad respaldada por hardware con YubiKey
Aplicamos Zero Trust como metodología. Es una filosofía de seguridad basada en nunca confiar, verificar siempre y en un acceso estricto con el mínimo privilegio. En nuestro flujo de trabajo, esta metodología se implementa mediante una identidad respaldada por hardware con YubiKeys. La identidad, la autenticación y la autorización de cada miembro del equipo de ingeniería están vinculadas a una clave privada física y no extraíble que exige un PIN y un toque humano para cada operación. Así se garantiza que el acceso no pueda delegarse, compartirse, robarse mediante phishing ni usarse en silencio desde máquinas comprometidas.
Junto con Keycloak, Teleport y Netbird, las YubiKeys nos permiten aplicar verdaderos principios de Zero Trust en servidores, clústeres y servicios internos, lo que garantiza que cada acción se verifique explícitamente, esté vinculada a una persona, quede registrada y se limite al alcance mínimo necesario.
Ofrecemos 3 formas de acceso seguro a servidores Linux y clústeres de Kubernetes.
Sea cual sea la opción que elijas, te recomendamos encarecidamente que restrinjas su conectividad de red únicamente a los sistemas que gestionamos, siguiendo el principio de mínimo privilegio.
Ofrecemos dos métodos de acceso SSH reforzados:
Una pequeña máquina virtual dentro de tu red establece un túnel saliente, solo SSH, hacia nuestra infraestructura. Todo el acceso a través de este túnel se autentica exclusivamente con claves SSH almacenadas en YubiKeys (con toque obligatorio y PIN de 8 dígitos).
Esta versión no crea ninguna conexión saliente. En su lugar, escucha en el puerto 22 dentro de tu red y solo es accesible desde nuestras direcciones IP fijas y dedicadas en Dinamarca, Alemania y Finlandia, lo que garantiza la redundancia.
Los dos modelos de bastión pueden ejecutarse en una máquina virtual aislada o dentro de tu clúster de Kubernetes para lograr alta disponibilidad.
Como alternativa a los bastiones SSH, podemos desplegar Netbird, una VPN de código abierto que usa el protocolo Wireguard.
Netbird se integra directamente con Keycloak, lo que permite autenticación centralizada, MFA y políticas de acceso detalladas sin depender de credenciales estáticas.
Los derechos de acceso están vinculados a identidades de usuario, y toda la actividad puede auditarse mediante Netbird y Keycloak, lo que proporciona una seguridad sólida y una visibilidad completa.
Para el acceso a Kubernetes usamos métodos de acceso basados en la identidad y respaldados por hardware, y habilitamos la autenticación OIDC mediante Keycloak en la API de Kubernetes.
Para el acceso a servidores Linux, habilitamos la autenticación con claves SSH, cada una asociada a la YubiKey de una persona.
Teleport proporciona un acceso seguro y centralizado a Kubernetes con:
Todo el tráfico de Teleport pasa por pasarelas desplegadas en tu entorno.
Normalmente se nos conceden permisos de cluster-admin o de nivel operador para que podamos diagnosticar y resolver problemas sin despertarte. Aun así, conservas el control total sobre los niveles de acceso finales.
Si hacen falta contraseñas u otras credenciales, se guardan en nuestro repositorio privado, gestionado con el software de código abierto passwordstore.org y respaldado por nuestros tokens de hardware YubiKey:
Siempre que es posible, evitamos por completo las contraseñas y preferimos Keycloak o la autenticación basada en hardware.
Ya sea mediante Teleport o Netbird, tienes visibilidad completa sobre:
Los logs pueden integrarse en tus sistemas de monitorización y de registro, además de en los nuestros.