Makrushin

Пока аналитики разбираются с инцидентами Binance и Polymarket, давайте исследуем неочевидные места, где могут оказаться наши секреты.

Даже если мы прячем токен в хранилище, шифруем базу и ограничиваем доступ к проду, всё равно остаётся предчувствие, что какой-нибудь SDK в проекте вдруг вернёт объект ошибки с содержимым конфига. Затем его целиком сохранит какой-нибудь логгер, и токен окажется в системе мониторинга.

Если секрет где-то превратится в обычную строку, по её типу уже не понять, что её нельзя логировать. Подход: оборачивать строку секрета так, чтобы по-умолчанию скрывать его при выводе в логи.

И несколько принципов, которых стоит придерживаться:

* проверять данные на входе в логгер и удалять чувствительные значения до записи
* настроить taint-анализ в статическом анализаторе, чтобы отслеживать, откуда секрет приходит, куда передаётся и в какие вызовы логирования может попасть
* ловить утечки в тестах. Если значение секрета оказалось в логах, тест должен упасть.

И не логировать всё подряд на случай «вдруг пригодится».

@makrushin

Бодрая выдалась неделька.

Пост поддержки для всех, кто тоже всю неделю разбирался с критическими уязвимостями, искал в логах следы эксплуатации и готовил исправления.

Среди всех проблем, которые всплыли почти одновременно, для кого-то самой "зубастой" стал не PHP2Shell и не 10-ка в гитлабе. eMudhra оказалась непростой в разборе. Искать ее следы в репозиториях с кодом — та еще задачка. Это сейчас уже начинают появляться готовые правила для Trivy, а в тот момент пришлось писать свои рулы для стат анализатора, которые ищут признаки использования плохих сертификатов и зависимостей, которые их используют. Делюсь.

Надеюсь, что сейчас всех немного отпустило и на следующей неделе можно провести ретроспективу произошедшего. Ключевая мысль: баги ищутся на скоростях ИИ, и теперь нужно ускорять процесс их исправления.

@makrushin

Аналитику центра безопасности приготовиться: критические уязвимости в PHP

Обнаружены две критические баги, которые могут привести к удалённому выполнению кода без аутентификации. Аналитики уже сообщают о попытках атак на хостинг-провайдеров, но детали пока не опубликованы.

Если в инфре где-то живёт PHP, сейчас хороший момент вспомнить, где именно он живет. Затем временно ограничить доступ из внешней сети и сегодня в 17:00 (Мск) накатить патч.

@makrushin