Secrets Management: หยุดฝังรหัสผ่านและ API Key ไว้ในโค้ด

ความลับของระบบ เช่น รหัสผ่านฐานข้อมูล กุญแจเชื่อมต่อบริการภายนอก และโทเคนต่าง ๆ มักถูกฝังไว้ในโค้ดเพราะสะดวก แต่นั่นหมายความว่าใครก็ตามที่เห็นโค้ด ไม่ว่าจะอดีตพนักงาน ผู้รับเหมา หรือคนที่เจาะ repository ได้ ก็ได้กุญแจของทั้งระบบไปด้วย และความลับที่หลุดในโค้ด มักหลุดถาวรเพราะอยู่ในประวัติการแก้ไขตลอดไป

ทำไมการลบทีหลังไม่พอ

หลายคนคิดว่าถ้าเผลอ commit รหัสผ่านไป ก็แค่ลบออกแล้วจบ แต่ระบบ version control เก็บทุกการเปลี่ยนแปลงไว้ ความลับยังอยู่ในประวัติให้ค้นเจอได้ วิธีที่ถูกคือถือว่าความลับนั้นรั่วแล้ว ต้องเปลี่ยน (rotate) ทันที ไม่ใช่แค่ลบบรรทัดออก

• เก็บความลับใน secret manager หรือ environment variable ไม่ใช่ในโค้ด
• ให้สิทธิ์เข้าถึงความลับเท่าที่จำเป็น และบันทึกว่าใครเข้าถึงเมื่อไร
• ตั้งรอบเปลี่ยนความลับเป็นระยะ และเปลี่ยนทันทีเมื่อมีคนออกจากทีม
• ใช้เครื่องมือสแกนหา secret ที่หลุดเข้า repository โดยอัตโนมัติ

การจัดการความลับที่ดีไม่ได้ทำให้ระบบช้าลงหรือยุ่งยากขึ้นอย่างที่กลัว แต่เปลี่ยนความลับจากระเบิดเวลาที่ฝังอยู่ทุกที่ ให้เป็นสิ่งที่ควบคุม เปลี่ยน และตามรอยได้ ซึ่งเป็นพื้นฐานที่องค์กรจริงจังเรื่องความปลอดภัยต้องมี