tag
密钥管理
该标签下有 3 篇文章
严重2026-07-07
Coincheck NEM 被盗事件（2018）——约 5.3 亿美元如何被盗，与密钥管理的防御
据报道，入口是针对员工的鱼叉式钓鱼／恶意软件，借此窃取了联网热钱包的私钥；随后约 5.23 亿 XEM（当时约 5.3 亿美元）在一次转账中被转出。核心失误在于把巨额、可即时动用的余额放在联网钱包中且未启用多重签名，因此单个被盗的私钥就动走了几乎全部。防御之道：把重要密钥离线保管或放入专用密钥存储（HSM/KMS）、最小化热钱包余额、消除单点故障（多人审批）、并检测与阻止异常的批量操作。
2026-06-11
SSH 密钥的最小权限：别把生产的 root 密钥放进可能被入侵的临时环境
从可能被入侵的临时环境（GPU pod、CI runner、一次性 VM）向生产登记 root 密钥，那个环境一旦被入侵，攻击者就能拿到生产的 root 权限。对策：不在临时环境放 root 密钥；不用了就删掉；再次需要时，用非 root 用户加上把密钥限定为一个操作的 command 限制密钥。把复用的密钥当作最重要的资产，绝不要搭出漏一把密钥就能打开所有服务器的结构。
2026-06-07
Heartbleed（CVE-2014-0160）——OpenSSL 漏洞导致服务器内存泄露
OpenSSL 的内存越界读取，可能泄露私钥乃至会话的事件。根源是返回的内存比请求长度更多的实现错误。教训是按已泄露处理（重新签发证书、彻底更换密钥与机密），监控被广泛使用的基础库，并重视内存安全。