Управление секретами

В 2025 году Россия заняла второе место в мире по количеству ставших известными утечек данных. Глобально количество утечек из банков и финансовых организаций сократилось на 44,7%, однако в России выросло в 1,5 раза. По данным отчёта InfoWatch, эта тревожная тенденция подчёркивает, что отечественный финансовый сектор остаётся приоритетной целью для киберпреступников.

Разница видна и в природе инцидентов. В мире на внутренних нарушителей приходится 4,5% утечек в финансовом секторе — в России эта доля почти втрое выше и составляет около 16%. Схожая картина по содержимому утекших данных: более 13% утечек в мире и около 10% в России содержат аутентификационную информацию: логины, пароли и ключи доступа.

При этом секреты редко защищены так же тщательно, как пароли пользователей — хотя открывают доступ к не менее критичным системам. 

Управление секретами — это централизованный контроль над секретами, API-ключами, токенами и сертификатами, которые финансовые системы используют для взаимодействия друг с другом. Без него один украденный ключ открывает доступ ко всей инфраструктуре: от базы транзакций до персональных данных клиентов.

Разбираемся, почему банки, финтех-компании и страховые организации стали приоритетной целью атак, что скрывается за неконтролируемым распространением секретов (secrets sprawl), как устроен жизненный цикл секрета и что требуют российские регуляторы от финансового сектора в 2026 году.

Главное об управлении секретами в финансовом секторе

• В 2025 году Россия заняла второе место в мире по числу известных утечек данных: количество инцидентов в финансовом секторе выросло в 1,5 раза, тогда как глобально сократилось на 44,7%.
• В российском финансовом секторе на внутренних нарушителей приходится около 16% утечек — почти втрое больше среднемирового показателя (4,5%), что делает контроль доступа сотрудников критичным.
• Управление секретами контролирует машинные учётные данные: API-ключи, токены, сертификаты, — тогда как менеджер паролей отвечает за доступ сотрудников к ресурсам. Финансовым организациям нужны оба контура.
• Инфраструктура банка объединяет десятки систем (процессинг, CRM, платёжные шлюзы), и каждая связь защищена отдельным ключом. Один забытый API-ключ платёжного шлюза способен открыть доступ к базе транзакций целиком.
• Неконтролируемое распространение секретов — бесконтрольное распространение секретов по репозиториям, конфигурациям и мессенджерам — превращает забытый ключ в системный риск: 64% секретов, утёкших в 2022 году, остаются действующими в 2026-м.
• Радиус поражения одного скомпрометированного ключа в банковской инфраструктуре может охватить всю цепочку обработки транзакций — от проверки баланса до персональных данных клиентов.
• С 30 мая 2025 года повторное нарушение в обработке персональных данных грозит штрафом до 3% годовой выручки — до 500 млн рублей, что делает управление секретами не только вопросом безопасности, но и финансовым риском.

Что такое управление секретами и чем оно отличается от паролей

Управление секретами — это система контроля над машинными учётными данными: API-ключами, токенами, сертификатами и SSH-ключами, которые используют приложения и сервисы. Менеджер паролей решает другую задачу — хранит логины и пароли сотрудников для входа в личные и общие ресурсы.

Разница в архитектуре:

• Менеджер паролей встраивается в рабочий процесс человека: браузерное расширение, мобильное приложение, единое хранилище для команды.
• Система управления секретами встраивается в инфраструктуру: API, CI/CD-пайплайн, оркестратор контейнеров. Она должна выдавать секрет сервису за миллисекунды, без участия человека, и автоматически менять его по расписанию.

Сравнение менеджера паролей и системы управления секретами:

Финансовым организациям, как правило, нужны оба инструмента одновременно: менеджер паролей для сотрудников, и отдельный контур для машинных секретов (для приложений и DevOps-процессов). На практике это не значит, что нужно внедрять два разных продукта от разных поставщиков, с двумя интерфейсами администрирования и двумя журналами аудита.

Пассворк объединяет управление паролями сотрудников и машинными секретами в одной экосистеме — с общим журналом аудита, едиными правами доступа и API для интеграции с CI/CD. Пассворк включён в реестр отчественного ПО и сертифицирован ФСТЭК. Протестировать можно бесплатно.

Почему финансовый сектор — главная мишень

Финансовые организации теряют данные через скомпрометированные секреты чаще других отраслей, потому что их инфраструктура объединяет десятки систем, постоянно обменивающихся данными друг с другом: процессинг, CRM, платёжные шлюзы, бухгалтерия. Каждое такое соединение защищено отдельным ключом или сертификатом — и каждый из них потенциальная точка входа. Злоумышленнику не нужно взламывать банк целиком: достаточно одного забытого ключа доступа.

Отраслевая аналитика детализирует, откуда берутся эти уязвимости:

• Рост утечек. В 2025 году число утечек данных из российских финансовых организаций достигло 44 — против 29 годом ранее. Рост на 52% за год (InfoWatch).
• Охота за данными. Каждый пятый инцидент в финансовом секторе — попытка получить доступ к конфиденциальной информации.
• Кража учётных данных. 15% инцидентов — прямая компрометация логинов и паролей сотрудников.
• Инструмент атак. Стилеры — вредоносное программное обеспечение (ВПО) для кражи паролей и токенов из браузеров и приложений — используются в 41% всех атак с применением ВПО на кредитно-финансовую отрасль (Солар, отчёт о кибератаках на кредитно-финансовую отрасль).

Positive Technologies добавляет к этой картине ещё одну деталь: в 67% успешных кибератак на финансовые организации злоумышленники похищали данные и шантажировали жертву, а в 57% атак использовалась социальная инженерия — обман сотрудника, а не взлом технической защиты. 

Стилеры и социальную инженерию объединяет одна цель — украсть секреты, которые открывают путь к деньгам. API-ключ платёжного шлюза, токен доступа к CRM с базой клиентов, сертификат для интеграции с процессинговым центром — каждый из этих объектов ценнее одного пароля от почты, потому что даёт доступ к системе, а не к аккаунту.

Неконтролируемое распространение секретов: невидимая угроза для финансовых организаций

Неконтролируемое распространение секретов (Secrets sprawl) — ситуация, при которой секреты бесконтрольно размножаются по репозиториям, конфигурационным файлам, переменным окружения, чатам и заметкам, а организация теряет представление о том, где они хранятся и кто имеет к ним доступ. 

Типичный сценарий выглядит так:

1. Тестирование интеграции. Разработчик финтех-компании тестирует интеграцию с платёжным шлюзом.
2. Ключ в коде. Для скорости вставляет API-ключ прямо в код, а не в защищённое хранилище.
3. Пропущенный шаг. Забывает удалить ключ перед публикацией.
4. Публикация в репозиторий. Сохраняет изменения в репозитории.
5. Ключ остаётся навсегда. Даже после удаления строки из актуальной версии кода ключ доступен в истории репозитория — история версий хранит все прошлые состояния файла.

Масштаб проблемы подтверждают международные данные. По данным отчёта GitGuardian State of Secrets Sprawl (2025), более 90% секретов, случайно опубликованных в публичных репозиториях, остаются валидными и пригодными для использования спустя 5 дней после утечки. Это означает, что даже обнаруженная утечка секрета не гарантирует его немедленной нейтрализации, если процесс отзыва не автоматизирован.

Мировая статистика утечек секретов: отчёт GitGuardian за 2026 год

Для финансовой организации неконтролируемое распространение секретов (secrets sprawl) означает, что каждый репозиторий, каждый CI/CD-пайплайн и каждая переменная окружения — потенциальная точка утечки, независимо от того, насколько защищён периметр. Централизованное хранилище — единственный способ вернуть контроль над рассредоточенными данными.

Жизненный цикл секрета: где возникают уязвимости

Жизненный цикл секрета — это последовательность из семи этапов, от генерации до уничтожения, на каждом из которых секрет может быть скомпрометирован. Понимание этой последовательности показывает, что защита секрета — это процесс, требующий контроля на каждой стадии, а не только в момент хранения. Такой подход к классификации этапов описывает, в частности, OWASP Secrets Management Cheat Sheet.

7 этапов жизненного цикла секрета:

• Генерация. Создание секрета с достаточной энтропией. Слабый или предсказуемый ключ компрометируется ещё до первого использования.
• Хранение. Размещение в централизованном зашифрованном хранилище, а не в открытом файле или переменной окружения без контроля доступа.
• Распределение. Передача секрета сервису или сотруднику только через защищённый канал: API вызов, а не сообщение в мессенджере.
• Контроль доступа. Привязка к идентичности рабочей нагрузки: сервис получает секрет на ограниченное время и только в контексте конкретного окружения (под, контейнер, задача в конвейере).
• Ротация. Плановая или экстренная смена секрета по расписанию либо сразу после подозрения на компрометацию.
• Отзыв. Немедленная инвалидация скомпрометированного секрета без ожидания планового цикла ротации.
• Уничтожение. Безвозвратное удаление секрета после истечения срока действия или завершения его использования.

На практике большинство инцидентов возникает на двух этапах: распределении и ротации. Передача ключа доступа в мессенджере или почте нарушает этап 3 сразу, а отсутствие автоматической ротации превращает этап 5 в формальность: секрет годами остаётся неизменным, даже если о нём знают уже несколько бывших сотрудников.

Финансовая организация в условиях кадрового дефицита на рынке ИТ (за 2025 год штат ИТ-специалистов в России вырос на 15,4%, но нехватка кадров всё ещё оценивается в миллионах) активно привлекает подрядчиков и внешних разработчиков. Без автоматизации ротации отзыв доступа при завершении контракта требует ручной проверки всех систем, в которых подрядчик мог оставить след.

Радиус поражения: что происходит, когда один секрет скомпрометирован

Радиус поражения — это масштаб последствий, к которым приводит компрометация одного секрета: чем шире доступ, который открывает украденный ключ, тем больше систем оказываются под угрозой. В финансовой инфраструктуре, где сервисы плотно связаны между собой через API, радиус поражения одного украденного ключа может охватить всю цепочку обработки транзакций.

Рассмотрим типичный сценарий:

1. Компрометация ключа. Скомпрометирован API-ключ одного микросервиса, отвечающего за проверку баланса.
2. Избыточные привилегии. Ключ выдан с избыточными правами — злоумышленник получает доступ не только к функции проверки баланса, но и к базе транзакций целиком.
3. Горизонтальное перемещение. Через доступ к базе транзакций атакующий находит учётные данные другого сервиса.
4. Расширение доступа. Через скомпрометированный сервис атакующий получает доступ к персональным данным клиентов.

Ограничить радиус поражения позволяют два принципа, которые тесно связаны между собой:

• Принцип минимальных привилегий. Каждый сервис получает доступ только к тем ресурсам, которые нужны для его конкретной функции, а не ко всей базе данных.
• Регулярная ротация секретов. Короткий срок жизни ключа сокращает окно для атаки. API-токены сервисных аккаунтов в Пассворке можно ротировать через пары access- и refresh-токенов.
• Изоляция секретов друг от друга. Компрометация одного секрета не открывает доступ к остальным. В Пассворке каждый пароль и сейф получают собственный ключ шифрования, вложенные друг в друга по цепочке: ключ пароля → ключ сейфа → приватный ключ пользователя.
• Точечный отзыв без цепной реакции. Администратор аннулирует конкретный секрет, не трогая остальные учётные данные. Сервисные аккаунты Пассворка поддерживают несколько API-токенов — можно отозвать один, не нарушив работу остальных пайплайнов.
• Журнал доступа. Аномалия видна сразу, а не через неделю в постмортеме. Журнал действий Пассворка фиксирует каждое обращение к сейфам и паролям, с экспортом в SIEM для встраивания в существующий мониторинг.

Динамические секреты сокращают радиус поражения ещё сильнее: вместо постоянного ключа сервис получает короткоживущий токен, который автоматически истекает через несколько минут или часов. Даже если токен перехвачен, злоумышленник может использовать его только в узком временном окне. 

Регуляторные требования РФ: что обязан выполнить финансовый сектор

Регулятор в лице Центрального банка и ФСТЭК России предъявляет к финансовым организациям конкретные требования по контролю доступа к учётным данным, которые напрямую касаются управления секретами. Основные документы — ГОСТ Р 57580.1-2017, Положение ЦБ РФ № 851-П и Приказ ФСТЭК России № 21, каждый из которых регулирует свой аспект защиты.

Ключевые нормативные акты для финансового сектора

Что требует каждый документ

ГОСТ Р 57580.1-2017 обязывает выстраивать защиту по одному из трёх уровней (минимальному, стандартному или усиленному) в зависимости от значимости системы. Контроль доступа к учётным данным входит в базовый набор мер для каждого уровня без исключений.

Положение ЦБ РФ № 851-П действует с 29 марта 2025 года — оно заменило ранее действовавшее Положение № 683-П и усилило требования к защите банковской информации, включая порядок применения сертифицированных средств криптографической защиты (СКЗИ).

Приказ ФСТЭК России № 21 определяет организационные и технические меры защиты персональных данных — документ прямо применим к банкам как операторам персональных данных клиентов. Два раздела касаются управления секретами напрямую:

• ИАФ (идентификация и аутентификация) — требует присвоения уникальных идентификаторов учётным записям и управления их жизненным циклом.
• УПД (управление доступом) — требует своевременного отзыва прав при увольнении или смене должности сотрудника.

Для инфраструктуры, где секреты хранятся статично в конфигурационных файлах без контролируемой ротации, выполнить эти требования буквально невозможно. Нужен инструмент, который фиксирует, кто и когда получил доступ к каждому секрету.

Финансовые последствия несоблюдения

С 30 мая 2025 года в России действуют оборотные штрафы за нарушения в сфере обработки персональных данных. За повторное нарушение штраф для юридических лиц составляет от 1 до 3% годовой выручки — не менее 20 млн и не более 500 млн рублей.

5 практик управления секретами для финансовых организаций

Пять практик управления секретами закрывают большинство сценариев компрометации, описанных выше, и формируют базовый уровень защиты для финансовой организации любого масштаба. Это последовательность конкретных действий, которые можно внедрять поэтапно, не останавливая разработку.

• Централизуйте хранение. Замените файлы .env, таблицы Excel и заметки на единое зашифрованное хранилище секретов с контролем доступа. Это первый шаг, который сразу закрывает большую часть проблемы неконтролируемого распространения секретов.
• Автоматизируйте ротацию. Настройте плановую смену секретов по расписанию и немедленную ротацию при подозрении на компрометацию — без ручного вмешательства администратора в каждом отдельном случае.
• Внедрите принцип минимальных привилегий. Каждый сервис и каждый сотрудник должны видеть только те секреты, которые нужны для их конкретной задачи, — это напрямую ограничивает радиус поражения при инциденте.
• Ведите полный аудит. Фиксируйте, кто, когда и откуда обращался к каждому секрету. Журнал аудита — то, что превращает расследование инцидента из недель в часы.
• Интегрируйте управление секретами в DevSecOps. Секреты не должны попадать в код и конфигурации CI/CD — используйте API для их динамической выдачи прямо в момент сборки или деплоя.

Для финансовых организаций, эти пять практик реализует Пассворк — система, включённая в реестр отечественного ПО (№ 6147) и сертифицированная ФСТЭК России. Открытый полнофункциональный API позволяет встроить хранилище в CI/CD-пайплайн и получать секреты программно, без ручной передачи ключей между разработчиками.

Заключение

Утечка в финансовой организации редко начинается со взлома периметра — чаще с забытого API-ключа в репозитории или пароля, годами не менявшегося на сервере интеграции. Неконтролируемое распространение секретов превращает такие мелочи в системный риск, а радиус поражения показывает, насколько дорого обходится одна ошибка в контроле доступа.

Практический первый шаг — провести инвентаризацию: собрать список всех секретов в инфраструктуре, определить, где они хранятся сейчас, и сравнить результат с требованиями ГОСТ 57580 и Положения 851-П. Разрыв между текущим состоянием и регуляторными требованиями обычно и определяет приоритеты внедрения.

Отдельная сложность в том, что пароли сотрудников и секреты сервисов обычно живут в разных системах — а иногда вообще нигде, кроме памяти конкретного разработчика.

Пассворк объединяет оба контура в одной экосистеме: пароли для команды и секреты для DevOps-процессов хранятся в едином защищённом хранилище с общей моделью доступа, единым журналом аудита и одной точкой ответственности для администратора — вместо двух разрозненных инструментов с разной логикой прав.

Для финансовых организаций, которым важно соответствие российскому регулированию, Пассворк предлагает отечественное решение с сертификатом ФСТЭК и включением в реестр отечественного ПО.

Проверьте на практике, как это работает: разверните Пассворк на собственном сервере и посмотрите, как единое хранилище закрывает разрыв между парольной политикой для сотрудников и управлением секретами для инфраструктуры. Попробовать можно бесплатно.

Частые вопросы об управлении секретами в финансовом секторе

Чем управление секретами отличается от управления паролями?

Менеджер паролей хранит учётные данные сотрудников для входа в личные и корпоративные ресурсы. Система управления секретами контролирует машинные учётные данные — API-ключи, токены, сертификаты, которые сервисы используют автоматически, без участия человека. Ключевое отличие — ротация по расписанию, интеграция с CI/CD-пайплайнами и аудит обращений на уровне сервисов, а не пользователей.

Что такое неконтролируемое распространение секретов (secrets sprawl)?

Неконтролируемое распространение секретов (Secrets sprawl) — бесконтрольное распространение секретов по репозиториям, конфигурационным файлам, переменным окружения и мессенджерам. Организация теряет представление о том, где хранятся секреты и кто имеет к ним доступ, что резко увеличивает поверхность атаки и затрудняет расследование инцидентов при компрометации.

Какие этапы жизненного цикла секрета наиболее уязвимы?

Из семи этапов (генерации, хранения, распределения, контроля доступа, ротации, отзыва и уничтожения) большинство инцидентов возникает на распределении и ротации. Передача ключа через мессенджер нарушает защищённый канал на этапе распределения, а отсутствие автоматической ротации оставляет секрет неизменным годами, даже после увольнения сотрудников, знавших его значение.

Сколько времени скомпрометированный секрет остаётся действующим, если его не отозвать вручную?

По данным отчёта GitGuardian State of Secrets Sprawl (2025), более 90% секретов, случайно опубликованных в публичных репозиториях, остаются валидными спустя пять дней после утечки. Без автоматического отзыва обнаружение инцидента не гарантирует нейтрализации риска — ключ продолжает работать, пока его не аннулируют вручную.

Что произойдёт, если один API-ключ банка будет скомпрометирован?

Масштаб последствий называется blast radius. Один скомпрометированный ключ может открыть доступ к базе транзакций, а оттуда — к другим системам через lateral movement, горизонтальное перемещение атакующего внутри инфраструктуры. Принцип минимальных привилегий и динамические секреты сокращают этот радиус до минимума.

Нужно ли управление секретами небольшим финтех-компаниям?

Да. По данным InfoWatch (2026), рост утечек в 2025 году произошёл в том числе в небольших МФО и страховых компаниях. Злоумышленники нередко атакуют менее защищённые организации как промежуточную точку входа для последующей атаки на более крупных партнёров или клиентов.

Соответствует ли Пассворк требованиям российских регуляторов для финансового сектора?

Да. Пассворк включён в реестр отечественного ПО (№ 6147) и сертифицирован ФСТЭК России, что упрощает соответствие требованиям Приказа № 21 и Положения ЦБ РФ № 851-П. Продукт объединяет пароли сотрудников и машинные секреты в едином хранилище с журналом аудита и API для интеграции с CI/CD.

Интерактивная схема API: сравнение версий и готовые примеры

В документации Пассворка появилась интерактивная схема API. Она показывает структуру запросов, сравнивает версии спецификаций и генерирует готовый код. Инструмент помогает собрать нужный запрос и проверить совместимость скриптов без разворачивания тестового стенда.

Блог ПассворкаИлья Шелыгин

Постквантовая криптография: угрозы и стандарты — 2026

Квантовые компьютеры ещё не взломали ни одного шифра, но атаки уже идут. Разбираем HNDL-угрозу, глобальные дедлайны регуляторов, российские алгоритмы-кандидаты и первые промышленные пилоты QKD в России.

Блог ПассворкаИлья Шелыгин

Кейс-стади: МТС Банк и Пассворк

Как МТС Банк объединил управление паролями в единой системе с помощью Пассворка и повысил уровень безопасности.

Блог ПассворкаАнастасия Лебедева

Для современной ИТ-инфраструктуры централизованное управление секретами — необходимость. HashiCorp Vault долгое время считался стандартом для DevOps и корпоративного сегмента. Но его внедрение требует серьёзных ресурсов: высокие расходы, сложная архитектура, необходимость в узкой экспертизе.

Пассворк предлагает альтернативный подход: решение, которое закрывает требования большинства компаний с минимальными затратами времени и финансов на внедрение и поддержку.

В этой статье разберём, чем Пассворк отличается от HashiCorp Vault, какие задачи решает и в каких сценариях оправдан выбор каждого из инструментов.

Пассворк: позиционирование и принципы

В ответ на сложности и высокую стоимость существующих решений, Пассворк предлагает иной подход к управлению секретами, основанный на трёх ключевых принципах: простота внедрения, универсальность применения и безопасность по умолчанию.

С релизом 7-й версии Пассворк эволюционировал из менеджера паролей в полноценную систему управления секретами и значительно расширил возможности. Основа этой трансформации — открытый REST API и набор нативных DevOps-инструментов.

Теперь это не только платформа для безопасного хранения паролей, но и полноценная система управления секретами:

1. Менеджер паролей — удобный пользовательский интерфейс для безопасного хранения и совместного использования учётных данных внутри команды. Быстрый старт без необходимости обучения.
2. Система управления секретами — программный доступ для разработчиков и администраторов через REST API, Python-коннектор, CLI и Docker-образ. Автоматизация ротации секретов, интеграция с CI/CD, управление доступом на уровне приложений.

Пассворк объединяет все секреты (пароли, API-ключи, сертификаты) в единой экосистеме. Внедрение занимает минимум времени благодаря готовым инструментам и интуитивно понятному интерфейсу.

API-first архитектура

Пассворк построен по принципу API-first: каждая функция интерфейса доступна программно через REST API. Это фундамент для глубокой интеграции с ИТ-инфраструктурой.

Более 300 API-эндпоинтов — полнофункциональное управление паролями, пользователями, сейфами, группами, ролями и системными настройками.

Готовые инструменты для разработчиков:

• Python-коннектор — нативная интеграция с приложениями на Python
• Passwork CLI — управление секретами из терминала и shell-скриптов
• Docker-образ — встраивание в контейнеризованные окружения и CI/CD-пайплайны

Принцип Zero knowledge в действии

Мастер-ключ никогда не покидает устройство пользователя. Вместо передачи
пароля на сервер, система использует сложную криптографическую цепочку:

1. Мастер-ключ формируется из мастер-пароля через алгоритм PBKDF2 с
   использованием случайной соли и большого числа итераций (защита от
   атак перебором).
2. RSA-ключи пользователя (RSA-2048): Для каждого пользователя
   генерируется уникальная пара асимметричных ключей. Закрытый ключ
   шифруется мастер-ключом и хранится на сервере только в зашифрованном виде.
3. Многоуровневая иерархия: Каждая запись пароля шифруется
   собственным AES-256-ключом, который в свою очередь шифруется ключом сейфа, а ключ сейфа — RSA-ключами пользователей с доступом.

Что это означает на практике

• Сервер хранит только шифртекст — даже администраторы системы или потенциальные злоумышленники, получившие полный доступ к серверу и базе данных, не смогут прочитать содержимое секретов без знания мастер-паролей пользователей.
• Полная совместимость — клиентское шифрование поддерживается во всех официальных клиентах: веб-интерфейсе, браузерных расширениях, мобильных приложениях и Python-коннекторе для серверных интеграций.

Преимущества

Пассворк значительно снижает общую стоимость владения системой управления секретами. Это достигается благодаря нескольким принципиальным преимуществам:

• Быстрое внедрение. Развёртывание и интеграция занимают дни, а не месяцы. Готовые инструменты, документация, техподдержка на всех этапах и интуитивно понятный интерфейс.
• Прозрачное ценообразование. Пассворк предлагает простую и предсказуемую модель лицензирования. Фиксированная стоимость за пользователя без скрытых платежей за API-вызовы, хранилища или дополнительные модули.
• Единое решение. Пароли сотрудников, SSH-ключи, API-токены, сертификаты, конфигурации — всё в одной системе.
• DevOps-ready из коробки. Мощный CLI, Python-коннектор и Docker-образы позволяют быстро интегрировать Пассворк в CI/CD-процессы и автоматизировать рутинные задачи.
• Оперативная техподдержка. Профессиональная русскоязычная техническая поддержка на всех этапах — от внедрения до эксплуатации. Быстрые ответы, понятные решения, без языкового барьера.

Результат: экономия на лицензиях и внедрении, DevOps-команды перестают тратить время на поддержку избыточно сложной инфраструктуры.

HashiCorp Vault

Vault — один из самых известных инструментов для управления секретами в корпоративной среде. Он подходит крупным компаниям с высокими требованиями к безопасности и сложной инфраструктурой. Несмотря на свою мощь и популярность, HashiCorp Vault не является универсальным решением. У него есть специфические нюансы, которые важно учитывать при выборе — особенно если ваша компания стремится к оптимизации ресурсов.

• Ценообразование. Hashicorp Vault не публикует открытый прайс-лист. Стоимость Vault Enterprise определяется индивидуально — после консультации с отделом продаж. Это нужно учитывать при планировании бюджета, чтобы избежать неожиданных расходов.
• Экспертиза. Решение требует глубоких знаний для настройки и поддержки. Развертывание отказоустойчивых кластеров, управление политиками доступа и интеграция с различными системами — задачи, которые под силу опытным DevOps-инженерам, знакомым с архитектурой Vault. Найти таких специалистов может быть сложнее, чем администраторов типовых систем управления секретами.
• Функции. Vault предлагает большой набор возможностей: от базового хранения секретов до динамической генерации учётных данных и шифрования как услуги. Часть функций доступна только в Enterprise-версии — это стоит учитывать, если вам нужны конкретные возможности с самого начала.
• Иностранное решение. HashiCorp Vault — продукт американской компании. В России нет официальных лицензий, решение отсутствует в Реестре Минцифры. Это ограничивает его использование в госсекторе и компаниях с требованиями к импортозамещению.

Сравнение Hashicorp Vault и Пассворка

При выборе системы управления секретами важно понимать не только общую философию продукта, но и конкретные технические возможности.

Архитектура

Пассворк построен на принципах Zero knowledge. Это означает, что сервер физически не может расшифровать секреты без мастер-ключа пользователя. Такая архитектура определяет, как строятся интеграции.

Как работает Hashicorp Vault: сервер может расшифровывать секреты и выполнять операции с ними напрямую. Это позволяет создавать встроенные движки (Database Secrets Engine, PKI Engine и др.), которые работают на стороне сервера.

Как работает Пассворк: сервер не может расшифровать секреты без мастер-ключа пользователя. Все интеграции строятся как внешние клиентские решения: Python-скрипты, CLI-утилиты или приложения. Они работают по следующей схеме:

1. Обращаются к Пассворку с токеном доступа и мастер-ключом
2. Расшифровывают секреты на стороне клиента
3. Выполняют действия по интеграции со сторонними системами
4. Записывают или обновляют данные в Пассворке

В чём разница: Vault доверяет серверу и полагается на его защищённость. Пассворк не доверяет никому, кроме конечного пользователя.

Преимущества подхода Пассворка

• Защита при компрометации сервера — даже при полном взломе сервера секреты остаются зашифрованными.
• Гибкость интеграций — любая логика реализуется в клиентском коде без ограничений серверной архитектуры.
• Прозрачность — вся логика работы с секретами находится в открытом коде интеграций.

Управление секретами

Оба решения обеспечивают надёжное хранение секретов, но отличаются подходом к динамике и удобству использования.

Статические секреты
Пассворк предлагает более понятный интерфейс для управления статическими секретами, что важно для компаний, которым нужен быстрый доступ и внедрение без долгого изучения документации.

• HashiCorp Vault: KV Secrets Engine — гибкое хранилище ключ-значение с версионированием.
• Пассворк: хранение паролей, ключей и файлов с кастомными полями и удобным интерфейсом.

Динамические секреты
Vault — технологический лидер в этой области. Но на практике 90% потребностей в ротации покрывают простые скрипты, интегрированные с Пассворком.

• HashiCorp Vault: встроенные движки генерируют временные учётные данные для баз данных, облаков (AWS, Azure, GCP) и других систем.
• Пассворк: через внешние агенты — Пассворк не имеет встроенного механизма, но позволяет реализовать ротацию через API и скрипты.

Lease management
Lease Management в Vault — это механизм «аренды» секретов. Секрет автоматически истекает по TTL, его можно продлить или принудительно отозвать.

• HashiCorp Vault: автоматическое управление жизненным циклом (TTL, продление, отзыв) для динамических секретов.
• Пассворк: нет встроенного механизма — жизненный цикл управляется внешними системами (например, cron-заданиями).

API-доступ
API Пассворка часто отмечают как более простой, предсказуемый, и оптимизированный под разработку интеграций.

• Оба решения: REST API с полным программным доступом ко всем функциям.

Криптография и PKI

Возможность шифрования «на лету» и управления инфраструктурой открытых ключей (PKI) — сильная сторона Vault. Эти инструменты часто оказываются избыточными для типовых сценариев, но незаменимы при сложных требованиях к безопасности.

PKI/CI

• HashiCorp Vault: встроенный PKI движок — может выступать в роли корневого или промежуточного центра сертификации.
• Пассворк: нет встроенного движка — Пассворк предназначен для безопасного хранения сертификатов и ключей, сгенерированных внешними CA.

Transit Crypto-as-a-service
У Vault это встроенный полнофункциональный движок. Transit — мощная, но нишевая функция. Пассворк фокусируется на своей основной задаче — безопасном хранении секретов.

• HashiCorp Vault: встроенный движок позволяет шифровать и подписывать данные без их хранения в Vault, используя централизованно управляемые ключи.
• Пассворк: нет встроенного движка — данная функция не реализована. Для подобных задач рекомендуется использовать специализированные криптографические сервисы.

Шифрование данных
Подход Пассворка обеспечивает более высокий уровень конфиденциальности, так как сервер никогда не видит данные в открытом виде.

• HashiCorp Vault: разнообразные алгоритмы — AES-GCM, ChaCha20, RSA, ECDSA и др. Шифрование на стороне сервера.
• Пассворк: Zero knoweldge и серверное шифрование (OpenSSL) — все данные шифруются на стороне клиента по принципу Zero knowledge.

Интеграция с DevOps-инструментами

Простота и скорость интеграции в существующие процессы — ключевой фактор для DevOps-команд.

CI/CD интеграция
Оба решения эффективно интегрируются с CI/CD. Vault предлагает готовые плагины для популярных систем, Пассворк — универсальный подход через CLI и Docker.

• HashiCorp Vault: множество плагинов для большинства популярных CI/CD-систем (Jenkins, GitLab CI, GitHub Actions).
• Пассворк: CLI и Docker-образы — универсальный подход, который работает с любой CI/CD-системой без необходимости в плагинах.

Python SDK
hvac — зрелая и функциональная библиотека. Коннектор Пассворка проще в освоении и автоматизирует типовые операции.

• HashiCorp Vault: hvac library — популярная и мощная библиотека для взаимодействия с Vault.
• Пассворк: официальный коннектор — простой в использовании SDK, который берёт на себя рутинные задачи, например, автоматическое обновление токенов.

CLI-инструменты
Passwork-cli прост в освоении, имеет понятный синтаксис и удобный режим exec для передачи секретов.

• HashiCorp Vault: Vault CLI — большое количество команд и опций.
• Пассворк: Passwork CLI —утилита с интуитивно понятным синтаксисом и удобным режимом exec, который позволяет передавать секреты в дочерние процессы.

Интеграция с Kubernetes
У Vault есть нативная автоматизация через Injector/CSI, у Пассворка — более простой init/sidecar-паттерн. Итог (секреты на лету) достигается в обоих подходах — различается сложность и глубина автоматизации.

• HashiCorp Vault: Agent Injector + CSI — глубокая и нативная интеграция с Kubernetes через sidecar-контейнеры и CSI-драйвер с аннотациями на Pod-спецификации.
• Пассворк: Init-контейнеры/sidecar — интеграция возможна через стандартные механизмы Kubernetes с использованием CLI, но требует больше ручной настройки.

Корпоративные функции

Управление доступом, аудит и интеграция со службой каталогов — обязательные требования для корпоративных решений.

Управление доступом на основе ролей (RBAC)
Пассворк предлагает более простую и быструю в настройке модель RBAC, которая покрывает большинство корпоративных потребностей.

• HashiCorp Vault: Policies + Roles — гибкая система управления доступом на основе политик.
• Пассворк: Роли + Группы — простая и понятная ролевая модель, знакомая большинству администраторов.

Интеграция с AD/LDAP
Оба решения поддерживают AD/LDAP-интеграцию. В Vault это один из множества методов аутентификации, в Пассворке — встроенная функция с простой настройкой.

• HashiCorp Vault: Auth methods — поддерживается как один из множества методов аутентификации.
• Пассворк: встроенная поддержка — интуитивная и быстрая интеграция с Active Directory и другими LDAP-каталогами.

Технология единого входа (SSO)
Оба решения предлагают сопоставимые возможности по SSO.

• HashiCorp Vault: OIDC, SAML — поддержка стандартных протоколов для интеграции с провайдерами идентификации.
• Пассворк: интеграция с популярными SSO-провайдерами.

Аудит
Оба решения предоставляют исчерпывающую информацию для аудита безопасности.

• HashiCorp Vault: возможность логировать каждое действие с секретами.
• Пассворк: детальный журнал всех действий пользователей и API-клиентов.

Пользовательский интерфейс
Удобный интерфейс Пассворка является ключевым преимуществом, так как позволяет использовать систему не только техническим специалистам, но и обычным сотрудникам.

• HashiCorp Vault: интерфейс ориентирован на администраторов и DevOps-инженеров.
• Пассворк: современный и интуитивно понятный интерфейс, рассчитанный на широкий круг пользователей.

Практические сценарии использования

Рассмотрим, как Пассворк и Vault решают типичные DevOps-задачи.

Интеграция в CI/CD

Задача: безопасно передать пароль от базы данных в скрипт развертывания deploy.sh в рамках CI/CD-пайплайна.

Решение HashiCorp Vault: интеграция требует нескольких шагов — настройки аутентификации для CI/CD (например, через JWT или AppRole), создания политик доступа и получения секрета.

deploy:
  script:
    # 1. Аутентификация в Vault
    - export VAULT_TOKEN=$(vault write -field=token auth/jwt/login role=myproject jwt=$CI_JOB_JWT)
    # 2. Чтение секрета (путь и поле зависят от вашей схемы ключей в KV)
    - export DB_PASSWORD=$(vault kv get -field=password secret/myapp/db)
    # 3. Запуск скрипта
    - ./deploy.sh

Решение Пассворка: Пассворк CLI предлагает режим exec, который получает секрет и передает его в дочерний процесс через переменные окружения. Имя переменной формируется из названия кастомного поля записи.

deploy:
  image: passwork/passwork-cli:latest
  variables:
    # Рекомендуется задать эти значения как Masked/Protected переменные 
    # в Settings > CI/CD > Variables
    PASSWORK_HOST: "https://passwork.example.com"
    PASSWORK_TOKEN: "${PW_TOKEN}"
    PASSWORK_MASTER_KEY: "${PW_MASTER_KEY}"
  script:
    # Запуск скрипта с автоматическим получением секрета
    # Секреты будут доступны в ENV только дочернему процессу
    - passwork-cli exec --password-id "ITEM_ID" -- ./deploy.sh

Примечание: deploy.sh использует $DB_PASSWORD из кастомного поля записи в Пассворке.

Управление секретами в Kubernetes

Задача: обеспечить под приложения в Kubernetes доступом к секретам.

Решение HashiCorp Vault: Vault предлагает нативные механизмы: Agent Injector или CSI Provider. Требуется развертывание дополнительных компонентов в кластере и глубокая настройка с аннотациями на Pod-спецификации.

# Аннотации для пода, использующего Agent Injector
metadata:
  annotations:
    vault.hashicorp.com/agent-inject: 'true'
    vault.hashicorp.com/role: 'myapp-role'
    vault.hashicorp.com/agent-inject-secret-database-config.txt: 'secret/data/myapp/db'

Решение Пассворка: подход Пассворка проще и не требует установки дополнительных операторов в кластер. Используется стандартный паттерн init-контейнера, который с помощью passwork-cli получает секреты и записывает их в общую для пода emptyDir-директорию.

Вариант 1 (через API, извлечь только пароль)

# Фрагмент манифеста пода
initContainers:
  - name: passwork-secrets
    image: passwork/passwork-cli:latest
    command:
      - sh
      - -c
      - |
        passwork-cli api \
          --method GET \
          --endpoint "v1/items/ITEM_ID" \
          --field password > /secrets/db_password
    volumeMounts:
      - name: secrets-volume
        mountPath: /secrets

containers:
  - name: my-app
    # ...
    volumeMounts:
      - name: secrets-volume
        mountPath: /secrets
        readOnly: true

Вариант 2 (через exec, записать ENV в файл)

initContainers:
  - name: passwork-secrets
    image: passwork/passwork-cli:latest
    command:
      - sh
      - -c
      - |
        passwork-cli exec --password-id "ITEM_ID" \
          -- sh -lc 'printf "%s" "$DB_PASSWORD" > /secrets/db_password'
    volumeMounts:
      - name: secrets-volume
        mountPath: /secrets

Вывод: хотя решение Vault более нативное, подход Пассворка использует стандартные механизмы Kubernetes — не требует дополнительной инфраструктуры и проще в отладке.

Ротация паролей

Задача: регулярно менять пароль для сервисного аккаунта базы данных.

Решение HashiCorp Vault: используется Database Secrets Engine, который автоматически генерирует временные учетные данные с заданным TTL.

Решение Пассворка: задача решается простым скриптом, запускаемым по расписанию (например, в cron или CI/CD), который выполняет три действия:

1. Генерирует новый пароль
2. Применяет его в целевой системе (например, ALTER USER в СУБД)
3. Обновляет пароль в Пассворке через API

#!/usr/bin/env bash
set -Eeuo pipefail

NEW_PASSWORD="$(openssl rand -base64 24)"

# 1) Ротация в БД
PGPASSWORD="$OLD_PASSWORD" psql -h "$DB_HOST" -U "$DB_USER" -d "$DB_NAME" \
  -c "ALTER USER \"$DB_USER\" WITH PASSWORD '$NEW_PASSWORD';"

# 2) Обновление в Пассворке (CSE на клиенте)
python - <<'PY'
import os
from passwork_api import Passwork

pw = Passwork(
    host=os.environ["PASSWORK_HOST"],
    token=os.environ["PASSWORK_TOKEN"],
    master_key=os.environ["PASSWORK_MASTER_KEY"],
)
pw.update_item(item_id=os.environ["PW_ITEM_ID"], 
               password=os.environ["NEW_PASSWORD"])
PY

Вывод: для большинства сценариев ротации секретов не требуется сложный механизм динамических секретов. Простой скрипт и API Пассворка обеспечивают достаточный уровень автоматизации и безопасности.

Архитектурные сценарии внедрения

Выбор между Пассворком и Vault не всегда означает полную замену одного на другое. В зависимости от зрелости компании, требований к безопасности и существующей инфраструктуры возможны различные стратегии.

Чистый Пассворк

Этот сценарий предполагает использование Пассворка как единственного инструмента для управления всеми типами секретов.

Для кого: стартапы, средний, малый бизнес и даже крупные компании, которые начинают выстраивать процессы управления секретами с нуля или ищут простую замену разрозненным инструментам.

Преимущества: Максимальная простота, низкая стоимость, быстрое внедрение. Покрывает большинство потребностей в управлении статическими секретами и их интеграции в CI/CD.

Реализация: локальная установка на серверы компании, интеграция в DevOps-процессы через CLI и API.

Гибридный подход

Этот сценарий признает сильные стороны обоих продуктов и использует их для решения конкретных задач.

Vault используется для нишевых, высокоспециализированных задач:

• PKI Engine — управление собственной инфраструктурой открытых ключей и массовый выпуск короткоживущих сертификатов.
• Transit Engine — централизованный сервис для криптографических операций (шифрование как сервис).

Пассворк используется для всего остального:

• Хранение 99% всех секретов: пароли пользователей, API-ключи, статические ключи доступа, конфигурационные файлы
• Управление доступом для сотрудников и команд
• Простая интеграция в CI/CD для большинства приложений

Преимущества: позволяет использовать мощные функции Vault там, где они действительно необходимы, избегая при этом его высокой стоимости и сложности для решения повседневных задач.

Миграционный подход

Для компаний, которые уже используют HashiCorp Vault, но он обходится слишком дорого или требует много усилий на поддержку, — можно плавно перейти на Пассворк.

1. Аудит и идентификация — проанализировать текущее использование Vault. Выделить сценарии, где его функциональность избыточна (например, хранение простых статических ключей).
2. Пилотный проект — внедрить Пассворк для одного или нескольких некритичных проектов. Перенести секреты из Vault в Пассворк и перенастроить CI/CD-пайплайны.
3. Поэтапная миграция — после успешного пилота постепенно переводить другие команды и проекты на Пассворк.
4. Оценка и решение — по итогам миграции принять решение: полностью отказаться от Vault в пользу Пассворка или перейти к гибридной модели, оставив Vault для специфических задач.

Этот подход позволяет минимизировать риски, распределить нагрузку по миграции и на практике оценить преимущества Пассворка в реальных условиях.

Заключение: когда выбирать Пассворк?

Выбор инструмента для управления секретами — стратегическое решение, которое влияет на безопасность, операционную эффективность и бюджет компании. HashiCorp Vault, без сомнения, мощное и функциональное решение, но его сложность и стоимость делают его оправданным лишь в узком круге сценариев.

Пассворк — оптимальный выбор для большинства компаний, которые ищут экономически эффективное и простое в использовании решение.

Выбирайте Пассворк, если:

• Цените быструю окупаемость (ROI): Пассворк позволяет получить 90% необходимой функциональности за 20% от стоимости и сложности Vault.
• Стремитесь к универсальности: вам нужен единый инструмент для управления паролями сотрудников и секретами для DevOps, с удобным интерфейсом для всех.
• Предпочитаете простоту и предсказуемость: вы хотите избежать сложных настроек, длительного внедрения и непрозрачного ценообразования.
• Ваша команда DevOps перегружена: вы хотите высвободить ресурсы инженеров от поддержки сложной инфраструктуры и направить их на решение бизнес-задач.
• Безопасность для вас приоритет: архитектура Zero knowledge с клиентским шифрованием в Пассворке обеспечивает высочайший уровень защиты данных.

В то время как HashiCorp Vault остается решением для узкоспециализированных задач, таких как управление собственной PKI-инфраструктурой, Пассворк — стратегическая альтернатива для современного бизнеса, предлагающая идеальный баланс между функциональностью, стоимостью и простотой использования. Это решение, которое позволяет повысить безопасность и эффективность без лишних затрат.

Читайте также

Пассворк: управление секретами и автоматизация доступа

Содержание * Что такое управление секретами * Пассворк: больше, чем менеджер паролей * API как основа интеграции * Инструменты для разработчиков и DevOps * Шифрование и модель Zero Knowledge * Авторизация и токены * Бизнес-кейсы * Итоги Что такое управление секретами Управление секретами (secrets management) — это процесс централизованного хранения, управления и ротации конфиденциальных данных, которые приложения и сервисы

Блог ПассворкаИлья Шелыгин

Пассворк 7.1: типы сейфов

Содержание * Что такое типы сейфов? * Как это работает? * Базовые типы сейфов * Преимущества типов сейфов * Управление типами сейфов * Миграция с предыдущих версий * Почему это важно Типы сейфов В Пассворк 7.1 управление доступом стало более гибким благодаря системе типов сейфов. Типы сейфов решают главную проблему администраторов — как контролировать доступ к данным

Блог ПассворкаИлья Шелыгин

Персональные данные 2025: новые правила для бизнеса

Новые правила 152-ФЗ и изменения 2025. Как бизнесу защитить персональные данные, избежать штрафов и соблюдать требования Роскомнадзора.

Блог ПассворкаАнастасия Лебедева

Что такое управление секретами

Управление секретами (secrets management) — это процесс централизованного хранения, управления и ротации конфиденциальных данных, которые приложения и сервисы используют для доступа к критически важным ресурсам. К таким секретам относятся пароли, SSH-ключи, API-ключи и ключи шифрования, токены доступа, сертификаты и любые другие параметры, обеспечивающие безопасность вашей инфраструктуры.

Почему это важно для бизнеса?

• Безопасное централизованное хранение секретов. Все конфиденциальные данные хранятся в едином защищённом репозитории, что исключает риск их размещения в открытых файлах, скриптах или исходном коде и минимизирует вероятность несанкционированного доступа и утечек.
• Гибкое управление доступом и делегирование прав. Система позволяет детально настраивать права доступа к каждому секрету на уровне пользователей, групп или сервисных аккаунтов, обеспечивая принцип минимальных привилегий (least privilege) и сокращая поверхность атаки за счёт ограничения доступа.
• Аудит и мониторинг обращений к секретам. Все операции с секретами фиксируются: кто, когда и к чему обращался, какие изменения были внесены. Это облегчает соответствие требованиям регуляторов и прозрачность процессов безопасности.
• Автоматизация ротации и обновления секретов. Регулярная автоматическая смена паролей, ключей и других секретов по заданному расписанию или при возникновении событий (например, компрометации) экономит время ИТ-специалистов.
• Интеграция с DevOps-процессами и инфраструктурными компонентами. Секреты доступны через API, CLI, SDK и плагины, что позволяет интегрировать систему управления секретами с CI/CD пайплайнами, облачными сервисами, контейнерными платформами и базами данных.
• Снижение рисков утечки и компрометации данных. Централизованный контроль и автоматизация процессов позволяют оперативно реагировать на инциденты, быстро отзывать и обновлять уязвимые секреты, предотвращая распространение угроз внутри корпоративной среды.

Без централизованного управления секреты часто оказываются в коде или файлах конфигураций, что резко повышает риск утечек и усложняет их ротацию. Корпоративные менеджеры паролей решают эту проблему, но не все из них поддерживают автоматизацию и программный доступ, необходимый для современных DevOps-процессов.

Пассворк: больше, чем менеджер паролей

Пассворк давно зарекомендовал себя как корпоративный менеджер паролей, но с выходом 7-й версии его возможности значительно расширились и вышли за рамки привычного «хранения паролей». Благодаря открытому API, Пассворк трансформировался в полноценную систему управления секретами.

Интерфейс API Пассворка обеспечивает программный доступ ко всем функциям веб-платформы: управлению паролями, сейфами, папками, пользователями и ролями, ярлыками, вложенными файлами, а также журналом событий. С помощью API можно автоматизировать процессы выдачи и отзыва прав доступа, обновления паролей, интеграции с CI/CD-процессами, а также экспортировать логи.

Другими словами, Пассворк теперь сочетает в себе два полноценных продукта и направления:

1. Менеджер паролей — удобный пользовательский интерфейс для безопасного хранения и совместного использования учётных данных внутри команды.
2. Система управления секретами — программный доступ для разработчиков и администраторов через REST-API, Python-коннектор, CLI и Docker-контейнер, позволяющие автоматизировать работу с секретами в скриптах, сервисах и DevOps-процессах.

Появление полноценного API выводит Пассворк на уровень специализированных систем управления секретами, таких как HashiCorp Vault. Теперь администраторы и разработчики могут использовать единое решение для хранения и управления паролями и секретами — нет необходимости поддерживать два разных продукта (отдельный менеджер паролей и отдельный Vault). При этом остаются привычные интерфейсы Пассворка: веб-клиент, мобильные приложения и браузерные расширения для пользователей, и мощный API — для разработчиков.

API как основа интеграции

API позволяет интегрировать Пассворк с внутренними системами компании, обеспечивая полный доступ ко всем функциям платформы. Всё, что можно выполнить через веб-интерфейс, доступно программно: создание, получение и обновление секретов, управление хранилищами, настройка пользователей и групп, работа с вложениями и просмотр журналов событий.

Для разработчиков и администраторов это означает максимальную гибкость: можно автоматически создавать сейфы для новых сотрудников, выполнять запланированную ротацию паролей сервисных учётных записей или интегрировать Пассворк с сервис-деском для выдачи временных доступов.

Инструменты для разработчиков и DevOps

Python-коннектор

Официальный Python-коннектор Пассворка избавляет разработчиков от необходимости погружаться в детали низкоуровневого взаимодействия с API и криптографией.

Ключевые преимущества:

• Простота интеграции. Все базовые операции сведены к методам вроде create_item, get_item, create_vault, что избавляет от ручной работы с HTTP-запросами.
• Безопасность на клиенте. Шифрование, расшифровка и работа с мастер-ключом выполняются в библиотеке, секреты защищены даже при работе с открытым API.
• Управление сессиями. Коннектор автоматически сохраняет и восстанавливает токены, а также обновляет истекший accessToken через refreshToken.
• Гибкость. Универсальный метод call() позволяет обращаться к любым эндпоинтам, даже если они не покрыты стандартными методами коннектора.

Для работы достаточно указать адрес сервера, установить токены и мастер-ключ, после чего можно создавать и получать секреты.

from passwork_client import PassworkClient

client = PassworkClient(host="https://passwork.example.com")
client.set_tokens("ACCESS_TOKEN", "REFRESH_TOKEN")  # передаём токены
client.set_master_key("MASTER_KEY")  # мастер-ключ для расшифровки

# создание хранилища и пароля
vault_id = client.create_vault(vault_name="DevOps", type_id="vault_id_type")
password_data = {
    "Name": "Database PROD", 
    "vaultId": vault_id,
    "title": "DB prod",
    "login": "admin",
    "password": "secure-password",
    "url": "https://db.example.com"
}
password_id = client.create_item(password_data)

# получение и использование пароля
secret = client.get_item(password_id)
print(secret['password'])

Все криптографические операции выполняются локально, а мастер-ключ никогда не покидает вашу среду.

CLI-утилита

Passwork CLI — командная утилита для получения секретов и работы с API из shell-скриптов и CI/CD.

Режимы работы:

1. exec — извлекает секреты, создаёт для них переменные окружения и запускает указанный процесс. Пароли нигде не сохраняются и доступны только во время выполнения.
2. api — выполняет произвольные методы API и выводит ответ в JSON.

Полезно для:

• Безопасного подключения к базам данных и сервисам — пароль подставляется через переменные окружения и не хранится на диске.
• Автоматизации развёртывания и CI/CD — секреты автоматически подгружаются в пайплайне;
• Администрирования серверов — временные переменные позволяют выполнять задачи от имени сервисных учётных записей;
• Интеграции с DevOps-инструментами — легко сочетается с Ansible, Terraform и другими решениями.

Для аутентификации можно использовать флаги (--host, --token, --master-key) либо переменные окружения PASSWORK_HOST, PASSWORK_TOKEN и PASSWORK_MASTER_KEY.

Пример exec
Резервное копирование PostgreSQL. CLI создаст переменную окружения PGPASSWORD и запустит pg_dump:

export PASSWORK_HOST="https://passwork.example.com"
export PASSWORK_TOKEN="your_access_token"
export PASSWORK_MASTER_KEY="your_master_key"

passwork-cli exec --password-id "5f8a7b6c9d0e1f2a3b4c5d6e" \
  pg_dump -h localhost -U username -d database > backup.sql

Пример multi-secret
Запуск скрипта, которому нужны три секрета:

passwork-cli exec \
  --password-id "db123,api456,storage789" \
  deploy.sh --db-pass=$DATABASE_PASSWORD --api-key=$API_KEY --storage-key=$STORAGE_KEY

Пример api
Получить список сейфов:

passwork-cli api --method GET --endpoint "v1/vaults"

CLI поддерживает фильтрацию по тегам и папкам, работу с пользовательскими полями, обновление токенов, временную деактивацию SSL-проверки (только для тестовой среды с флагом --no-ssl-verify).

Docker-контейнер

Для CI/CD подготовлен Docker-образ passwork/passwork-cli. Он содержит предустановленный CLI и запускается от непривилегированного пользователя.

Укажите переменные окружения и запустите команду:

docker run -it --rm \
  -e PASSWORK_HOST="https://passwork.example.com" \
  -e PASSWORK_TOKEN="your_access_token" \
  -e PASSWORK_MASTER_KEY="your_master_key" \
  passwork-cli exec --password-id "db_password_id" mysql -h db_host -u admin -p $DB_PASSWORD db_name

Образ удобен в пайплайнах Bitbucket или GitLab — достаточно указать переменные окружения и выполнить команду passwork-cli exec. Можно использовать docker-compose и пробрасывать секреты другим контейнерам.

Использование секретов в приложениях

CLI передаёт секреты через переменные окружения. Это упрощает интеграцию: веб-приложение на Node.js получает пароль к базе данных без необходимости хранить его в коде или конфигурационных файлах.

Пример:

1. В Пассворке создаётся запись DB_PASSWORD
2. В пайплайне запускается команда:

passwork-cli exec --password-id "<id_секрета>" --cmd "node server.js"

3. CLI создаёт переменную DB_PASSWORD и запускает node server.js. Приложение читает пароль из process.env.DB_PASSWORD.

Аналогично можно передавать несколько секретов. Переменные окружения существуют только внутри процесса — после завершения они исчезают.

Автоматизация ротации паролей

Регулярная смена паролей снижает риск компрометации. Сценарий автоматизации с Python-коннектором:

1. Получить текущий пароль из Пассворка (get_item)
2. Сгенерировать новый пароль
3. Изменить пароль в базе данных (ALTER USER)
4. Обновить запись в Пассворке (update_item)
5. Уведомить команду о завершении

Псевдокод:

from passwork_client import PassworkClient
import secrets
import psycopg2

def rotate_db_password(passwork_host, accessToken, refreshToken, master_key, password_id, db_params):
    client = PassworkClient(passwork_host)
    client.set_tokens(accessToken, refreshToken)
    client.set_master_key(master_key)
    
    secret = client.get_item(password_id)
    current_password = secret['password']
    new_password = secrets.token_urlsafe(32)
    
    conn = psycopg2.connect(
        dbname=db_params['db'], 
        user=db_params['user'],
        password=current_password, 
        host=db_params['host']
    )
    
    with conn.cursor() as cur:
        cur.execute(f"ALTER USER {db_params['user']} WITH PASSWORD '{new_password}'")
    conn.commit()
    
    client.update_item(password_id, {"password": new_password})
    print("Пароль успешно ротирован и обновлён в Пассворке")

Шифрование и модель Zero Knowledge

Пассворк реализует схему шифрования, соответствующую принципу Zero Knowledge: сервер никогда не видит секреты в открытом виде. Существует два уровня защиты:

1. Серверное шифрование — всё содержимое баз данных шифруется на сервере и защищено даже от администраторов.
2. Клиентское шифрование (client-side encryption, CSE) — можно включить для критичных данных: секреты шифруются на стороне клиента библиотеке клиента, на сервер отправляется только шифротекст. При включённом CSE пользователь вводит мастер-пароль, из него генерируется мастер-ключ, которым расшифровываются ключи сейфов и отдельных записей; благодаря этому даже компрометация сервера не раскрывает содержимое сейфов.

Если Пассворк развёрнут в изолированной сети, можно оставить лишь серверное шифрование. Важно помнить, что CSE стоит включать, если вы размещаете Пассворк в облаке или должны соответствовать строгим стандартам безопасности.

Авторизация и токены

API использует пару токенов — accessToken и refreshToken. Access-токен действует ограниченное время, refresh-токен позволяет получить новый access-токен без повторной аутентификации — Python-коннектор делает это автоматически.

Для безопасности рекомендуется:

• Создавать отдельных пользователей для интеграций API и выдавать им только необходимые права (минимальные привилегии)
• Назначать сервисным учёткам роль с доступом только к нужным сейфам и папкам
• Регулярно ротировать токены и ограничивать срок их действия
• Хранить токены в переменных окружения или секрет-хранилищах
• Использовать HTTPS для всех запросов

Бизнес-кейсы

Итоги

Пассворк эволюционировал из менеджера паролей в платформу управления секретами. Открытый API и сопровождающие инструменты (Python-коннектор, CLI и Docker-образ) позволяют получить программный доступ ко всем функциям и строить гибкую инфраструктуру, где секреты хранятся централизованно и выдаются по принципу минимальных привилегий.

Для администраторов — это удобное хранилище и инструмент автоматизации. Для разработчиков и DevOps — API и готовые решения для безопасной работы с конфиденциальными данными.

Пассворк может заменить отдельную систему Vault: теперь все пароли и сервисные секреты хранятся в одной системе с единым интерфейсом. Это снижает издержки на сопровождение, упрощает ротацию и делает безопасность понятной для IT-администраторов и разработчиков. Используя Пассворк в качестве менеджера секретов, компании получают простую и безопасную основу для своих приложений и сервисов.

Читайте также

Персональные данные 2025: новые правила для бизнеса

Новые правила 152-ФЗ и изменения 2025. Как бизнесу защитить персональные данные, избежать штрафов и соблюдать требования Роскомнадзора.

Блог ПассворкаАнастасия Лебедева

Пассворк 7.1: типы сейфов

Содержание * Что такое типы сейфов? * Как это работает? * Базовые типы сейфов * Преимущества типов сейфов * Управление типами сейфов * Миграция с предыдущих версий * Почему это важно Типы сейфов В Пассворк 7.1 управление доступом стало гибче благодаря системе типов сейфов. Типы сейфов решают главную проблему администраторов — как контролировать доступ к данным и

Блог ПассворкаИлья Шелыгин

Почему бизнес выбирает расширенную версию Пассворка

Расширенная версия Пассворка — основа управления доступом. Она создана для компаний, которым важно не просто хранить пароли, а организовать безопасность, масштабирование и автоматизацию на уровне всей структуры. В расширенную версию включены все ключевые возможности: интеграция с корпоративными сервисами, централизованное управление ролями и правами, разделение доступа по типам сейфов, настройка репликации и

Блог ПассворкаАнастасия Лебедева