Keyorix е мениджър за управление на чувствителни данни (secrets manager) с отворен код, който работи изцяло върху собствените сървъри на компанията. Мениджърът на чувствителни данни представлява защитено хранилище, от което дадено приложение извлича пароли за бази данни, API ключове и токени, така че те да не се съхраняват в конфигурационни файлове или в изходния код. Той се предоставя като един двоичен файл (binary) и в основната си форма не изисква връзка с интернет.
Keyorix SL, компанията зад продукта, го предлага на екипи, които не могат да изпращат идентификационни данни към облачни услуги – като например мрежи с въздушен междинен ред (air-gapped) и европейски предприятия, които трябва да се съобразят с NIS2 и DORA (правилата на ЕС за киберсигурност и финансова устойчивост). Сравнителната таблица на компанията съпоставя Keyorix с два инструмента: Vault, който работи на място (on-premise), но изисква специализиран администратор, и Doppler, който е лесен за употреба, но се предлага само като SaaS.
Разработчиците внедряват чувствителните данни в приложението чрез инструмент с команден ред, който ги инжектира като променливи на средата (environment variables), така че приложението да ги чете като обикновени настройки, или чрез SDK за Go, Python и Node.js. Екипите, които вече използват Vault, могат да импортират наличните си данни, а една единствена команда Docker Compose стартира пълния стек, включително уеб интерфейса.
Около това ядро са изградени механизми за контрол на достъпа и отчетност: ролеви контрол на достъпа (RBAC), права на групи, версиониране на чувствителните данни, отделни среди за разработка (development), тестова среда (staging) и продукция (production), сервизни токени за CI/CD задачи, както и известия на таблото за управление за данни, наближаващи крайния срок за ротация. Уеб таблото за управление обслужва екипи, които предпочитат графичен интерфейс.
Под капака всяка стойност на чувствителни данни е криптирана с AES-256-GCM. Паролата, зададена при стартиране, се разширява в ключ за криптиране на ключове (key-encrypting key), който съществува само в оперативната памет, а той от своя страна обвива ключа за данните. Данните се съхраняват в SQLite за среда на разработка и малки екипи или в PostgreSQL за продукционна среда. Всеки достъп се записва в логове с информация за това кой, какво, кога и откъде е достъпил, в рамките на два слоя за одит.
Keyorix е достъпен безплатно в GitHub.