Zero trust als methodiek — afgedwongen via identiteit op basis van hardware: YubiKey
We passen zero trust toe als methodiek. Het is een beveiligingsfilosofie die is gebouwd op never trust, always verify (vertrouw nooit, controleer altijd) en strikte toegang volgens least privilege. In onze werkwijze wordt deze methodiek geïmplementeerd via identiteit op basis van hardware met YubiKeys. De identiteit, authenticatie en autorisatie van engineers zijn gekoppeld aan een fysieke, niet-extraheerbare privésleutel die voor elke handeling zowel een pincode als een menselijke aanraking vereist. Zo kan toegang niet worden gedelegeerd, gedeeld, gephisht of stilletjes gebruikt door gecompromitteerde machines.
In combinatie met Keycloak, Teleport en Netbird kunnen we met YubiKeys echte zero-trustprincipes afdwingen voor servers, clusters en interne diensten, zodat elke handeling uitdrukkelijk wordt geverifieerd, aan een persoon is gekoppeld, wordt gelogd en beperkt blijft tot de minimaal benodigde scope.
We bieden 3 manieren voor veilige toegang tot Linux-servers en Kubernetes-clusters.
Welke optie je ook kiest, we raden sterk aan hun netwerkverbindingen te beperken tot alleen de systemen die wij beheren, volgens het principe van least privilege.
We bieden twee geharde methoden voor SSH-toegang:
Een kleine VM in je netwerk zet een uitgaande tunnel op, alleen voor SSH, naar onze infrastructuur. Alle toegang via deze tunnel wordt uitsluitend geauthenticeerd met SSH-sleutels op YubiKeys (aanraking vereist, met pincodes van 8 cijfers).
Deze variant maakt geen uitgaande verbinding. In plaats daarvan luistert hij op poort 22 in je netwerk en is hij alleen bereikbaar vanaf onze vaste, dedicated IP-adressen in Denemarken, Duitsland en Finland, wat zorgt voor redundantie.
Beide bastionmodellen kunnen draaien op een geïsoleerde VM of in je Kubernetes-cluster voor hoge beschikbaarheid.
Als alternatief voor SSH-bastions kunnen we Netbird uitrollen: een open source-VPN die het WireGuard-protocol gebruikt.
Netbird integreert direct met Keycloak, wat centrale authenticatie, MFA en fijnmazig toegangsbeleid mogelijk maakt zonder afhankelijk te zijn van statische inloggegevens.
Toegangsrechten zijn gekoppeld aan gebruikersidentiteiten, en alle activiteit kan worden geaudit via Netbird en Keycloak, wat zorgt voor sterke beveiliging en volledig zicht.
Voor toegang tot Kubernetes gebruiken we methoden die identiteitsbewust zijn en op hardware steunen, en schakelen we OIDC-authenticatie via Keycloak in op de Kubernetes-API.
Voor toegang tot Linux-servers schakelen we authenticatie met SSH-sleutels in, elk gekoppeld aan de YubiKey van een persoon.
Teleport biedt veilige, centrale toegang tot Kubernetes met:
Al het Teleport-verkeer loopt via gateways die in je omgeving zijn uitgerold.
Meestal krijgen we rechten op het niveau van cluster-admin of operator, zodat we problemen kunnen onderzoeken en oplossen zonder jou wakker te maken. Jij houdt echter de volledige regie over de uiteindelijke toegangsniveaus.
Als wachtwoorden of andere inloggegevens nodig zijn, worden ze opgeslagen in onze privérepository, beheerd met de open source-software passwordstore.org en beveiligd met onze YubiKey-hardwaretokens:
Waar mogelijk vermijden we wachtwoorden helemaal en kiezen we voor Keycloak of authenticatie op basis van hardware.
Of het nu via Teleport of Netbird gaat, je krijgt volledig zicht op:
Logs kunnen worden geïntegreerd in je eigen monitoring- en loggingsystemen en ook in die van ons.