2 / 43
殺雞,用了牛刀
平台通知外洩,一把多年沒換的鑰匙,藏在權限開滿的小機器人裡。
(示意情境,非真實事件)
那天,我們用的部署平台寄來通知:他們出事了,放在上面的設定和鑰匙,可能都被拿走了。
這次我動作很快。照著清單,一項一項換,兩天之內,全部打勾。
十幾天後的一個晚上,一支每天寫試算表的排程報錯:「找不到這個帳戶。」
沒有人刪帳號。是雲端平台,把整個專案停權了。
往回翻才發現,有一把鑰匙,從頭到尾,不在那張清單上。好幾年前做的,從沒換過。
拿著它的,是一支小機器人,只負責讀寫試算表、上傳照片,身分,卻是整個專案權限最大的角色。
殺雞,用了牛刀。牛刀被偷走,砍的就不只是雞了。
帳單不大。可是那幾台機器在替他做什麼?在網路上,一家一家敲別人的門,專找別人放在外面的鑰匙。
錢是我付的,被停權的,是我的專案。我差一點,成了別人的幫兇。
我以前以為,平台出事,是平台的錯。後來才發現,那把鑰匙,是我的。
老子說:「少則得,多則惑。」權限給得少,丟了,也只丟一點點。
給工程師的一句話
換鑰匙要以「身分」為單位,不是以「位置」為單位。換完之後,拿舊鑰匙撞一次,確定它真的失效。
看完的心情