Passwords and Power Drills
7 months ago
- #security
- #reliability
- #incident-response
- 谷歌内部一则关于WiFi密码变更的全公司公告，因流量激增超出预期，导致内部密码管理器发生级联故障。
- 恢复过程因安全措施变得复杂，包括需要使用存放在保险柜中的硬件安全模块(HSM)智能卡——该保险柜最初无法打开。
- 工程师最终通过电钻暴力破解保险柜，并发现智能卡插反才得以恢复系统。
- 该事件凸显了可靠性（负载均衡）与安全性（HSM要求）的相互影响，展示了一方的设计考量如何牵动另一方。
- 可靠性和安全同样关键但需不同设计思路：前者假设非恶意故障，后者需防范主动攻击者。
- 航空业和数据存储领域的案例表明，可靠性问题（如硬件缺陷）可能引发安全问题（如机密数据泄露）。
- 拒绝服务(DoS)攻击模糊了可靠性与安全的界限，因其可能源于恶意攻击或合法流量峰值。
- 系统复杂性与微小变更可能引发重大故障，如Debian的OpenSSL漏洞和YouTube因日志库更新导致的宕机。
- 深度防御、最小权限和多因素授权是降低可靠性与安全风险的共同策略。
- 谷歌IMAG计划等事件响应方案对危机管理至关重要，需通过定期测试（如DiRT演练）做好应急准备。
- 安全漏洞修复往往面临快速响应与可靠补丁之间的权衡。
- 本书强调在系统设计早期统筹安全与可靠性的重要性，以避免后期高昂的修复成本。