Zero Trust come metodologia, applicata tramite un'identità basata su hardware: YubiKey
Adottiamo lo Zero Trust come metodologia. È una filosofia di sicurezza basata sul principio mai fidarsi, verificare sempre e su un accesso rigorosamente a privilegio minimo. Nel nostro flusso di lavoro, questa metodologia viene implementata tramite un'identità basata su hardware con le YubiKey. L'identità, l'autenticazione e l'autorizzazione degli ingegneri sono legate a una chiave privata fisica e non estraibile, che richiede sia un PIN sia un tocco umano per ogni operazione. Così l'accesso non può essere delegato, condiviso, sottratto con il phishing o usato di nascosto da macchine compromesse.
Insieme a Keycloak, Teleport e Netbird, le YubiKey ci permettono di applicare veri principi Zero Trust su server, cluster e servizi interni, garantendo che ogni azione sia verificata esplicitamente, legata a una persona, registrata e limitata all'ambito minimo necessario.
Offriamo 3 modi per accedere in sicurezza a server Linux e cluster Kubernetes.
Qualunque opzione tu scelga, ti consigliamo vivamente di limitarne la connettività di rete ai soli sistemi che gestiamo, secondo il principio del privilegio minimo.
Offriamo due metodi di accesso SSH rafforzati:
Una piccola VM all'interno della tua rete stabilisce verso la nostra infrastruttura un tunnel in uscita solo SSH. Ogni accesso attraverso questo tunnel viene autenticato esclusivamente con chiavi SSH conservate su YubiKey (con tocco obbligatorio e PIN di 8 cifre).
Questa versione non crea una connessione in uscita. Resta invece in ascolto sulla porta 22 all'interno della tua rete ed è raggiungibile solo dai nostri indirizzi IP fissi e dedicati in Danimarca, Germania e Finlandia, garantendo la ridondanza.
Entrambi i modelli di bastion possono girare su una VM isolata o all'interno del tuo cluster Kubernetes per l'alta disponibilità.
In alternativa ai bastion SSH possiamo distribuire Netbird, una VPN open source che usa il protocollo Wireguard.
Netbird si integra direttamente con Keycloak, consentendo autenticazione centralizzata, MFA e policy di accesso granulari senza dipendere da credenziali statiche.
I diritti di accesso sono legati alle identità degli utenti, e tutta l'attività può essere verificata tramite Netbird e Keycloak, offrendo una sicurezza solida e una visibilità completa.
Per l'accesso a Kubernetes usiamo metodi di accesso basati sull'identità e sull'hardware, e attiviamo l'autenticazione OIDC tramite Keycloak sull'API di Kubernetes.
Per l'accesso ai server Linux attiviamo l'autenticazione con chiavi SSH, ognuna associata alla YubiKey di una persona.
Teleport offre un accesso sicuro e centralizzato a Kubernetes con:
Tutto il traffico di Teleport passa da gateway distribuiti nel tuo ambiente.
Di solito ci vengono concessi permessi da cluster-admin o di livello operatore, così possiamo diagnosticare e risolvere i problemi senza svegliarti. Tuttavia mantieni tu il pieno controllo sui livelli di accesso definitivi.
Se servono password o altre credenziali, le conserviamo nel nostro repository privato, gestito con il software open source passwordstore.org e protetto dai nostri token hardware YubiKey:
Quando possibile, evitiamo del tutto le password e preferiamo Keycloak o l'autenticazione basata su hardware.
Sia con Teleport sia con Netbird, hai piena visibilità su:
I log possono essere integrati nei tuoi sistemi di monitoraggio e logging oltre che nei nostri.