управление ключами
3 статей с этим тегом
Кража NEM с Coincheck (2018) — как украли около $530 млн и защита через управление ключами
По сообщениям, точкой входа стали целевой фишинг / вредоносное ПО, нацеленные на сотрудников; они позволили украсть приватный ключ подключённого к интернету горячего кошелька, после чего около 523 млн XEM (~$530 млн на тот момент) были выведены одним переводом. Ключевой провал — хранение огромного, мгновенно доступного остатка в онлайн-кошельке без мультиподписи, поэтому единственный украденный ключ увёл почти всё. Защищайтесь, храня важные ключи офлайн или в выделенном хранилище ключей (HSM/KMS), минимизируя горячий остаток, устраняя единые точки отказа (одобрение несколькими сторонами) и обнаруживая и останавливая аномальные массовые операции.
Наименьшие привилегии SSH-ключа: не храните root-ключи продакшена в эфемерных средах, которые можно скомпрометировать
Регистрация root-ключа в продакшене из эфемерной, компрометируемой среды (под GPU, раннер CI, одноразовая ВМ) означает, что в тот миг, когда среда скомпрометирована, атакующий получает root в продакшене. Исправление: никаких root-ключей в эфемерных средах; убирать ключи, когда не используются; если снова нужно — пользователь не root плюс ключ с ограничением команды, ограничивающий ключ одной операцией. Относитесь к переиспользуемому ключу как к самому критичному активу и никогда не стройте конфигурацию, где один утёкший ключ открывает все серверы.
Heartbleed (CVE-2014-0160) — баг OpenSSL, через который утекала память сервера
Чтение памяти за границей в OpenSSL могло раскрыть приватные ключи и сессии. Причина: сервер доверял заявленной длине и читал соседнюю память. Урок: действуйте так, будто утекло всё (перевыпускайте сертификаты, ротируйте все секреты), отслеживайте широко используемые базовые библиотеки и цените безопасность работы с памятью.