資安小品

第 41 則|金鑰與權限

分享
41 / 43

放在別人家的備用鑰匙

雲端平台外洩,放在別人家的備用鑰匙全被翻出來。

月夜山壑,小機器人提著琥珀色燈籠,看著被拖走的船留下的空坑。

(示意情境,非真實事件)

這家十人的線上課程公司,網站放在一個雲端平台上。AI 金鑰、資料庫密碼、金流密鑰,都存在平台的設定頁裡。很方便,程式隨時拿得到。

某天凌晨,工程師阿哲收到一封信:「您存在平台上的密鑰,可能已經外洩。」

原來,平台自己弄丟了一把內部的萬能鑰匙。有人撿到它,一路走進平台的資料庫,只挑一種東西拿:拿了就能用的密鑰。

平台當天就封了路,也答應賠償。官網上,明明寫著「最小權限」。規矩寫在牆上,鑰匙,卻掉在路邊。

阿哲花了一整個早上,把密鑰一把一把換掉。換完才發現,他根本記不清,自己在那裡放過幾把。

你們看到的,是一個方便的平台。你們沒看到的,是千百家公司的備用鑰匙,收在同一個抽屜裡。

莊子說:「藏舟於壑,謂之固矣,然而夜半有力者負之而走。」把船藏在山谷裡,以為很安全,半夜,還是會被人扛走。

鑰匙可以寄放,責任不能。

給雲端平台使用者的一句話

每個專案用專屬、權限最小的密鑰,AI 和金流服務設好花費上限;收到外洩通知,當天全部換掉,再回頭查帳單。

看完的心情
分享