資安小品

第 30 則|金鑰與權限

分享
30 / 43

永遠不過期的那一把

部署流程裡那把永遠不過期的管理員金鑰。

老木門的鎖孔裡插著一把鑰匙,久到藤蔓都纏上了它。

(示意情境,非真實事件)

這家三十人的軟體公司,程式碼一推上去,自動測試,自動部署。很方便。

為了做到這些,部署流程裡,放了一把雲端管理員金鑰。權限很大,而且,永遠不會過期。

有一天,消息傳來:一個大家都在用的部署外掛,被植入了惡意程式碼,會把執行環境裡的變數,送出去。

公司這才緊張起來:那把金鑰,是誰建的?權限有多大?還有哪些流程在用?要換的話,部署會不會全部中斷?

當初設定它的人,早就離職了。

你們看到的,是一條順暢的自動化。你們沒看到的,是那把一直插在門上的鑰匙。

老子說:「功遂身退,天之道。」事情做完了,就該退場。

鑰匙也一樣。用完,就該過期,而不是永遠留在那裡,等哪天,被別人撿走。

給工程師的一句話

部署改用短效憑證,或至少把金鑰限縮到單一環境、設到期日;第三方外掛釘住版本,別讓它和最大的鑰匙住在一起。

看完的心情
分享