Kraken Stress Testing Toolkit получил обновление 2.22.4, и на этот раз главный акцент сделан на безопасности. Разработчики закрыли SQL-инъекции, обход путей, SSRF, stored XSS и open redirect, а также переработали хранение API-ключей и секретов.
По данным Kraken, в API профилей, добавлении сообщений и локальных операциях с базой устранены SQL-инъекции. Отдельно исправлен обход Path Traversal: теперь проверяются NUL-байты, разделители пути и зарезервированные имена Windows. Для API добавили ограничения частоты запросов, блокировку после неудачных авторизаций и строгую проверку хостов, индексов и шаблонов.
Одно из самых заметных изменений касается API-ключа. Раньше в config.db поставлялся статический ключ, теперь при первом запуске создаётся уникальный ключ установки и хранится в зашифрованном виде. Принимается он только в заголовке X-API-KEY, из query-строки и журналов его убрали. Разработчики прямо предупреждают: старые статические ключи считаются скомпрометированными, после обновления ключ нужно заново получить в Settings.
Ещё несколько изменений усложнят жизнь тем, кто привык к прежним настройкам. Минимальная версия TLS теперь 1.2, устройства и брокеры со старыми протоколами подключаться не будут. config.db с секретами привязан к конкретной машине через DPAPI, поэтому при переносе API-ключ перегенерируется, а пароли SSH и Elasticsearch придётся ввести заново. Файл config.ini больше не используется, настройки переехали в config.db.
Для SSH-мониторинга включили проверку host key через known_hosts. Первый ключ сохраняется, а при его смене подключение блокируется до обновления записи. Это добавляет ручную работу при смене сервера, зато защищает от подмены узла. Шаблоны, которые ждали старый формат date2 с двоеточием перед миллисекундами, тоже придётся поправить.
Есть и небольшие улучшения интерфейса: в Templates появился перенос строк, тема AgentTerminal_BlackOps обновлена, а журналы очищаются от управляющих символов и ротируются. В целом 2.22.4 - это релиз про то, чтобы инструмент нагрузочного тестирования не стал сам удобной точкой входа. Перед обновлением стоит сохранить настройки и приготовиться заново выдать API-ключи.
Kraken используют для проверки SIEM и других систем мониторинга: инструмент генерирует события, парсит шаблоны и отправляет данные в Elasticsearch, Kafka и другие приёмники. Такой софт стоит рядом с чувствительной инфраструктурой, поэтому ошибка в его API или в обработке шаблонов может быть опаснее, чем кажется. В 2.22.4 разработчики как раз прошлись по местам, где недоверенные данные попадали в запросы, файлы и журналы.
Обновление не выглядит косметическим. Придётся выделить время на перенос настроек, проверку TLS и перевыпуск ключей. Зато после него статический ключ из коробки и незашифрованные секреты в config.db остаются в прошлом. Если Kraken стоит в контуре, который проверяет безопасность других систем, обновление лучше не откладывать.
Перед установкой стоит сохранить текущие шаблоны и настройки, а после - проверить, что старые брокеры и устройства подключаются по TLS 1.2 или новее. Тем, кто использовал config.ini, нужно быть готовым к ручному переносу параметров. Это не самая весёлая часть обновления, но именно она закрывает старые слабые места.
