資安小品

第 6 則|金鑰與權限

分享
6 / 43

暴風雨前的寧靜

明知高風險、卻嫌麻煩沒撤的鑰匙,一個多月後被濫用。

寧靜的庭院池塘邊,小機器人坐在屋簷下握著鑰匙,遠方烏雲正在聚集。

(示意情境,非真實事件)

鑑識報告裡,用粗體寫著一行字:有一把鑰匙,「風險最高,仍然有效」。

它也在那批被拿走的範圍裡。

我們都知道它危險,可是撤掉它,很麻煩。好幾個線上服務,靠它活著;同一份鑰匙,被複製進許多程式庫和電腦裡。

一撤,全部斷線。

所以我們決定:先一個一個搬家,再換鎖。

接下來那一個月,很安靜。安靜到,我幾乎以為它沒事了。

某個深夜,有人拿著這把鑰匙,整晚狂打雲端的 AI 服務。隔天早上,停權通知到了。所有靠它的服務,同時停擺。

那是外洩之後,一個多月。

我以前常勸人:別見到影子就開槍。後來才發現,面對駭客,這句話要反過來想:他一定會回來,而且,就在你鬆一口氣的時候。

我們不是沒有準備,只是心裡藏著一點僥倖:改起來那麼麻煩,應該可以再等等。

每一次僥倖,都在替駭客集氣。

最痛的是,停權之後刪掉那把鑰匙,一點成本都沒有。同一件事,一個月前就能做。

停機的痛,是你選的時間;停權的痛,是別人選的時間。

老子說:「圖難於其易,為大於其細。」難的事,要趁它還容易的時候做。

風平浪靜,不代表雨不會來。你以為的安靜,有時候,只是他在排隊。

給工程師的一句話

已知外洩的鑰匙,先撤銷再搬家;嫌麻煩的那一把,更要排進這週的行事曆,自己選停機的時間。

看完的心情
分享