OpenBao – HashiCorp Vault'un açık kaynak fork'u

• Sırlar, sertifikalar ve anahtarlar dahil hassas verileri yönetmek/depolamak/dağıtmak için bir çözüm
• Açık yönetişim ilkeleri doğrultusunda, OSI tarafından onaylanmış açık kaynak lisansı altında sunulması planlanıyor

Başlıca özellikler

• Güvenli sır deposu: Rastgele anahtar/değerleri saklar. Saklamadan önce şifrelediği için yalnızca ham veriye erişim yetkisiyle sırlara erişilemez. Diske ve Consul gibi sistemlere yazılabilir
• Dinamik sırlar: AWS ve SQL DB için isteğe bağlı sır oluşturmayı destekler. İstek anında geçerli yetkilere sahip anahtar çiftleri üretir ve kira süresi dolduğunda bunları otomatik olarak iptal eder
• Veri şifreleme: Veriyi saklamadan da şifreleme ve şifre çözmeyi destekler. Güvenlik ekipleri şifreleme parametrelerini tanımlayabilir; geliştiriciler ise kendi şifreleme yöntemlerini tasarlamak zorunda kalmadan SQL DB gibi yerlere şifrelenmiş veri kaydedebilir
• Kiralama ve yenileme: Tüm sırların bir kira süresi vardır. Kira sona erdiğinde sırlar otomatik olarak iptal edilir. Yerleşik yenileme API'si ile kira yenilenebilir
• İptal: Varsayılan olarak sır iptal etme işlevini destekler. Yalnızca tek bir sırrı değil, sır ağacını da (örneğin belirli bir kullanıcının okuduğu tüm sırlar veya belirli bir türdeki tüm sırlar) iptal edebilir. Anahtar rotasyonu ve ihlal durumunda sistem kilitlemeyi destekler

[xguru]

İlgili haber: Open source forkers stick an OpenBao in the oven

• HashiCorp'un Terraform yazılımı için rekabeti kısıtlayan bir lisans getirmesine yönelik tepkiyle birlikte, Linux Foundation'ın HashiCorp'un gizli bilgi yönetimi projesi Vault'a açık kaynaklı bir alternatif destekleme yönündeki hamlesi büyüyor
• Tokyo'daki Open Source Summit'te Sebastian Stadil (Scalr'ın kurucu ortağı ve CEO'su, ayrıca Terraform çatalı olan OpenTofu projesinin organizatörü) OpenBao'yu tanıttı
• OpenBao, geliştiricilerin parolaları, token'ları, sertifikaları, API anahtarlarını ve benzerlerini yönetmesine yardımcı olan bir Vault çatalı
• HashiCorp, Vault ve diğer yazılımlarını Business Source License'a geçirdi; bunun sonucunda rakip bulut şirketlerinin bu yazılımları rekabetçi ürünler olarak sunması yasaklandı. Buna tepki olarak rakipler, Vault kodunu Mozilla PLv2 adlı OSI uyumlu lisansla çatalladı
• OpenBao projesi Linux Foundation tarafından yönlendiriliyor ve IBM geliştiricileri bunu LF Edge üzerinden ileri taşıyor. Proje henüz IBM tarafından resmen onaylanmış değil ve Linux Foundation tarafından tanınabilmesi için sürdürülebilirliğini kanıtlayan belirli kriterleri karşılaması gerekiyor
• HashiCorp'un Terraform'un lisansını neden değiştirdiğine dair, muhtemelen şirketin nakit tükettiği ve faiz oranları yükselirken gelir yaratmak için adım atacağı belirtiliyor
• HashiCorp, 2024 mali yılının üçüncü çeyreğinde 146,1 milyon dolar gelir bildirdi; bu, geçen yılın aynı dönemine göre %17 artış anlamına geliyor

[GN⁺]

Hacker News yorumu

• Son ilgili haber: HashiCorp Vault, OpenBAO olarak forklandı

  • Aralık 2023'te Hacker News'te OpenBAO hakkında canlı bir tartışma vardı. Hâlâ çok erken aşamada ve henüz kullanılabilir durumda değil, ancak katkı sunmak için pek çok fırsat var.
  • Katkıda bulunmak istiyorsanız Matrix sohbet odasına katılabilir veya e-posta listesine yazılabilirsiniz.

• HashiCorp Vault ücretli sürümü kullanıcısının görüşü

  • On-prem HSM entegrasyonu ve FIPS uyumluluğu için Vault kullanıyorum. HSM ile birlikte kullanılacak, Vault kadar hafif ve kolay başka bir yazılım bilmiyorum. Ara CA imzalama deposu ve shard'ların HSM'de saklanmasıyla Vault auto-unseal kullanıyorum. OpenBAO bu gereksinimleri karşılamıyor.

• Nomad fork'u için beklenti dile getiriliyor

• Gizli bilgi yönetim araçları konusunda geliştiriciler arasında bir "cihat" yaşanması endişesi

  • Parola ve kimlik bilgilerini yöneten araçların istikrarsızlığı konusunda endişe var. YAML dosyalarındaki adları sürekli güncelleme zahmetinden, kötü niyetli geliştiricilerin kasıtlı olarak güvenlik açıkları ekleyebileceğine dair daha üst düzey kaygılara kadar uzanıyor. Bunun olmayacağına dair bir güvence olup olmadığı soruluyor.

• OpenBAO geliştirmesiyle ilgili bağlantılar paylaşılıyor

• Open source fork için teşekkür edilirken Vault ve Consul kullanımından kaçınılacağı belirtiliyor

  • Bu yazılımların son birkaç yılda kullanıcıların işini daha da zorlaştırdığı hissediliyor.

• OpenBAO güvenliği ve kullanıcı güveninin önemi vurgulanıyor

  • Vault'ta bulunan güvenlik sorunlarının sorumlu şekilde açıklanmasını isteyen yönlendirme metninde "Vault" ifadesinin "OpenBAO" olarak değiştirilmesi gerektiği belirtiliyor.