資安小品

第 31 則|金鑰與權限

分享
31 / 43

換一把鑰匙,要改六個地方

換一把金鑰要改六個地方,所以一直沒換。

牆上幾個各自上鎖的小木櫃,紅線糾纏在一起,小機器人拿著一把新鑰匙。

(示意情境,非真實事件)

資安顧問說:「金鑰要定期換。」工程主管點點頭,開始盤算:

正式環境、測試環境、部署流程、兩個服務的設定檔,還有某位同事電腦裡的腳本。六個地方,漏掉一個,某個服務,就會在半夜壞掉。

結論是:「下一季再說吧。」

這家二十五人的物流科技公司,一把金流金鑰,就這樣,用了四年。

直到有一天,一位碰過這把金鑰的外包工程師,被發現電腦遭到入侵。

公司決定,立刻換。

結果,花了一整個晚上。改完正式環境,排程壞了;修好排程,又發現一台舊主機上,對帳腳本,還在用舊的那一把。

不換,有風險;換,也有風險。最根本的問題是:不知道它,用在哪裡。

平時多流汗,戰時少流血。緊急輪換最痛,因為平常沒練習,只能邊做邊找。

今天就能做
  • 每把金鑰,列出所有用到它的地方。
  • 讓程式從同一個地方讀金鑰,不複製。
  • 挑一把不重要的,先練習換一次。
看完的心情
分享