"Бүх нууц түлхүүрээ задарсан гэж тооц": Northflank халдлагад өртөж, хөгжүүлэгчдийг түргэн авахууллаа

Юу болов? "Assume all environment variables have been decrypted"

Хөгжүүлэгчдийн өдөр тутмын ажилд microservice байршуулах, өгөгдлийн сан удирдах ажлыг хөнгөвчилдөг алдартай PaaS (Platform-as-a-Service) платформ болох Northflank системдээ томоохон хэмжээний аюулгүй байдлын зөрчил (security breach) гарсныг зарлалаа.

Northflank-ийн албан ёсны статус хуудсанд гарсан анхааруулга технологийн ертөнцийг тэр чигт нь цочроов: "Бүх Environment Variable-уудаа тайлагдсан (decrypted) гэж үзээд яаралтай rotate хийнэ үү."

Тус платформын мэдэгдсэнээр системийн үндсэн үйлчилгээнүүд болох Networking, Certificates, Addons, Builds зэрэг модулиуд ноцтой тасалдалд орсон бөгөөд аюулгүй байдлын хамгаалалтын компани Wiz-ээс ирсэн түгшүүрийн дохионы дагуу Wiz CIRT (Cyber Incident Response Team)-тэй хамтран яаралтай арга хэмжээ авч эхэлсэн байна.

Гэвч энэ нь энгийн нэг сервер унасан явдал биш бөгөөд платформыг ашиглаж буй олон мянган стартап, инженерүүдийн хувьд жинхэнэ гамшиг болж хувираад байна.

Халдлагын бодит хохирол: AI түлхүүрүүд хэдийнэ ашиглагдаж эхэлжээ

Энэ удаагийн халдлагын хамгийн аюултай тал нь задарсан мэдээллүүд бодит халдлага болон хувирч эхэлсэн явдал юм. Northflank-ийн албан ёсны мэдээлэлд дурдсанаар, системд хадгалагдаж байсан OpenAI, Anthropic зэрэг хиймэл оюуны төлбөртэй API Key-үүдийг халдагчид гартаа оруулж, хууль бусаар их хэмжээний хүсэлт илгээн хэрэглэж эхэлснийг олон хэрэглэгч нотолсон байна.

Зөвхөн AI түлхүүр ч биш, хөгжүүлэгчдийн системд тохируулсан байсан дараах өгөгдлүүд эрсдэлд орсон байна:

Workload-ууд дээр тохируулсан бүх Environment variables
Shared Secret groups болон Global secrets
PostgreSQL, MongoDB зэрэг өгөгдлийн сангийн холболтын нууц үгс (Database credentials)
Гуравдагч талын төлбөрийн болон дэд бүтцийн түлхүүрүүд (Stripe, AWS credentials гэх мэт)

Халдагчид чухам ямар цоорхойгоор дамжин хэрэглэгчдийн шифрлэгдсэн өгөгдлийг тайлах түлхүүрийг гартаа оруулсан нь одоогоор бүрэн тодорхой болоогүй байгаа ч энэ нь тус платформын удирдлагын түвшин (Control Plane) бүхэлдээ халдлагад өртсөнийг харуулж байна.

Хөгжүүлэгчид яг одоо юу хийх ёстой вэ?

Хэрэв та эсвэл танай баг Northflank платформ дээр төсөл байршуулсан бол дараах үйлдлүүдийг нэн даруй хэрэгжүүлэхийг зөвлөж байна:

Бүх API түлхүүрээ цуцалж, шинэчлэх (Revoke & Rotate): Northflank-ийн .env эсвэл secret group-т хадгалагдаж байсан OpenAI, Anthropic, Gemini, Stripe, AWS, SendGrid зэрэг бүх төрлийн API key-үүдийг үндсэн үйлчилгээ үзүүлэгч дээр нь устгаж (revoke), шинээр үүсгэ.
Өгөгдлийн сангуудын нууц үгийг солих: PostgreSQL, MongoDB зэрэг DB instance-уудынхаа root болон user нууц үгсийг яаралтай солих. Мөн хэрэв өгөгдлийн сангаа олон нийтийн сүлжээнд нээлттэй тохируулсан бол (Public expose) нэн даруй хаах шаардлагатай.
Хандалтын лог болон төлбөрийн хяналт шалгах: Сүүлийн 24 цагийн хугацаанд таны Cloud болон AI үйлчилгээнүүдийн Usage Dashboard дээр хэвийн бус хүсэлт, төлбөрийн өсөлт гарсан эсэхийг нягтал. Шаардлагатай бол зардлын дээд лимит (spending limit) тогтоо.
Git болон бусад нэвтрэх токенуудыг солих: GitHub/GitLab Personal Access Token (PAT) эсвэл Webhook secret-үүдийг ч шинэчлэх нь зүйтэй.

PaaS үйлчилгээнүүдийн итгэлцлийн хямрал: Shared Control Plane-ийн үнэ цэн

Энэ явдал нь сүүлийн үед дараалан гарч буй үүлэн дэд бүтцийн аюулгүй байдлын цуврал хямралын хамгийн сүүлийн дуудлага болж байна. Өнгөрсөн долоо хоногт л гэхэд өөр нэг алдартай платформ болох Railway ижил төрлийн орчны хувьсагчийн асуудалд өртөж байсан билээ.

Орчин үеийн PaaS платформууд хөгжүүлэгчдэд "хэдхэн товшилтоор deploy хийх" гайхалтай хялбар боломжийг (Developer Experience) санал болгодог. Гэвч хөшигний ард олон мянган хэрэглэгчийн дата нэгэн зэрэг байрлах Multi-tenant архитектур ажиллаж байдаг.

Хэрэв тухайн платформын ерөнхий удирдлагын систем (Shared Control Plane) эсвэл шифрлэлтийн түлхүүр хадгалах давхаргад нэг л цоорхой үүсвэл нэг сервер дээр байрлах хэн нэгний алдаанаас болж бусад бүх хэрэглэгчийн мэдээлэл нэгэн зэрэг дэлгэгдэх эрсдэлтэй байдаг нь практик дээр нотлогдож байна.

Энэхүү ноцтой явдал нь инженерийн багуудыг дараах асуултуудыг тавихад хүргэж байна:

Бид үйлдвэрлэлийн (production) чухал нууц үгсийг гуравдагч талын PaaS дээр статик хэлбэрээр хадгалсаар байх уу?
AWS Secrets Manager, HashiCorp Vault зэрэг тусгай зориулалтын, богино хугацааны хүчинтэй (ephemeral) түр токен олгодог системүүд рүү шилжих цаг болсон уу?
Эсвэл BYOC (Bring Your Own Cloud) буюу өөрийн бүрэн хяналтад байх дэд бүтэц дээр удирдах нь илүү найдвартай юу?

Дүгнэлт

Хөгжүүлэлтийн хурд, тав тух нь аюулгүй байдлын суурь зарчмуудыг хэзээ ч орлож чадахгүй. Хэрэв та өөрийн бүтээгдэхүүний түлхүүрүүдийг аль нэгэн PaaS дээр зүгээр л .env болгоод хуулж тавьдаг бол уг түлхүүр нэг л өдөр дэлхий даяар задарч болзошгүй гэдгийг Northflank-ийн өнөөдрийн явдал хатуу санууллаа. Өнөөдөр хийх хамгийн эхний ажил: Түлхүүрүүдээ яг одоо шалгаж, бүгдийг нь rotate хийгээрэй!

Эх сурвалж: Northflank Status, Hacker News Discussion