Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
頑固吧!GCP Cloud SQL (Why Hardening GCP Cloud SQL)
Search
Funny Systems
December 14, 2020
Technology
0
450
頑固吧!GCP Cloud SQL (Why Hardening GCP Cloud SQL)
問題 : Cloud SQL Proxy Credential File 外洩
該如何防止再次發生?
開源 PoC
Funny Systems
December 14, 2020
Tweet
Share
More Decks by Funny Systems
See All by Funny Systems
雲端 DHCP 安全問題
funnysystems
1
1k
雲端資料掉光光 - GCP 事件調查真實案例
funnysystems
2
1.6k
SMB 捲土重來 (Turning SMB Server Side Bug to Client Side)
funnysystems
0
220
跟壞鄰居想的一樣,供應鏈安全與硬體後門
funnysystems
1
700
以安全工程角度,連結實務與設計
funnysystems
0
350
FunnyPot ‐ 改造 Windows 核心,強固化、蜜罐化
funnysystems
0
660
攻擊者的視角 - 兼談匿名識別度與可追蹤性
funnysystems
1
440
黑客技術,黑科技樹 II
funnysystems
1
820
黑科技樹,黑客技術
funnysystems
1
540
Other Decks in Technology
See All in Technology
楽しくGoを学び合う、LayerXの勉強会文化 / LayerX's study culture of having fun and learning Go together
ar_tama
2
350
開発生産性をむしろ向上させる セキュリティパートナーの作り方 / Dev Productivity Con 2024
flatt_security
0
390
ABEMAにおけるLLMを用いたコンテンツベース推薦システム導入と効果検証
cyberagentdevelopers
PRO
1
760
サービス開発を前に進めるために 新米リードエンジニアが 取り組んだこと / Steps Taken by a Novice Lead Engineer to Advance Service Development
nologyance
0
180
20240725 LLMによるDXのビジョンと、今何からやるべきか @Azure OpenAI Service Dev Day
nrryuya
3
1.2k
さらに高品質・高速化を目指すAI時代のテスト設計支援と、めざす先 / AI Test Lab vol.1
shift_evolve
0
190
VPoEの視点から見た、ヘンリーがサーバーサイドKotlinを使う理由 / Why Server-side Kotlin 2024
cho0o0
1
420
データ分析を支える技術 生成AI再入門
ishikawa_satoru
0
380
Azure OpenAI Service Dev Day / LLMでできる!使える!生成AIエージェント
masahiro_nishimi
3
810
Classmethod Odyssey 登壇資料
yamahiro
0
390
Matterport を使ってクラスメソッド各拠点のバーチャルオフィスツアーを作成してみた
wakatsuki
0
160
20240724_cm_odyssey_hibiyatech
hiashisan
0
110
Featured
See All Featured
Into the Great Unknown - MozCon
thekraken
20
1.3k
Being A Developer After 40
akosma
72
580k
5 minutes of I Can Smell Your CMS
philhawksworth
200
19k
4 Signs Your Business is Dying
shpigford
178
21k
Building a Scalable Design System with Sketch
lauravandoore
458
32k
Designing Dashboards & Data Visualisations in Web Apps
destraynor
226
52k
Leading Effective Engineering Teams 2024
addyosmani
3
300
Intergalactic Javascript Robots from Outer Space
tanoku
266
26k
実際に使うSQLの書き方 徹底解説 / pgcon21j-tutorial
soudai
149
45k
Debugging Ruby Performance
tmm1
71
11k
Agile that works and the tools we love
rasmusluckow
325
20k
Reflections from 52 weeks, 52 projects
jeffersonlam
346
19k
Transcript
Why Hardening GCP Cloud SQL ?
問題 Cloud SQL Proxy Credential File 外洩
Project CMS Compute Engine Database Cloud SQL API Compute Engine
Backend Compute Engine Frontend Compute Engine 真實案例, 這種資料外洩情況,該如何防止再次發生? 正常使用連線 惡意後門連線 主機被攻陷後, 持續外洩資料不停機。
原本 Cloud SQL Proxy 的連線行為,明文憑證 Project Instance A Compute Engine
Cloud SQL Proxy Credential File 1. 讀取 2. 建立連線 存在於檔案系統當中, 且 Cloud SQL Proxy 目前僅允許讀取明文檔案。 所以此檔案外洩具有嚴重風險。 Cloud SQL
Credential File 掉了 會有甚麼風險 風險 1. 可以在任一主機上,建立 Cloud SQL Proxy
風險 2. 等同於服務帳號 ( Service Account ) 的帳號金鑰 提升權限
關於風險 1. Project Instance A Compute Engine Cloud SQL Proxy
Credential File 1. 讀取 2. 建立連線 1. 讀取 Credential File 2. 建立連線 攻擊者和您使用了一樣的方式讀取 Cloud SQL 機敏資料就此外流 Cloud SQL Proxy Cloud SQL
解決方案 加密保護 Credential File
原本 Cloud SQL Proxy 的連線行為,加密憑證 Project Instance A Compute Engine
1. 讀取 2. 建立連線 檔案系統中僅存放密文, 並在讀取的過程之中進行「 透明解密 」。 Cloud SQL Proxy Hardening Cloud SQL Encrypted Credential File
Project Instance A Compute Engine Cloud SQL Proxy Hardening 1.
讀取 2. 建立連線 無法讀取明文 攻擊者無法讀取 Credential File 明文 原本 Cloud SQL Proxy 的連線行為,加密憑證 Encrypted Credential File Cloud SQL Proxy Cloud SQL Encrypted Credential File
您認為一般的資安技術服務, (例如:滲透測試、原始碼檢查) 可以保護您在意的資料 ( 或個資 ) 嗎? 程式碼改版,就又要花一筆檢測費用?
以應用程式安全為核心目標 了解需求 滲透測試 原始碼檢查
以資料安全為核心目標 了解需求 改造流程 重整架構 開發私房工具 滲透測試 原始碼檢查 獨立資料路由 敏感資料分離 憑證透明解密
備份透明加密
規劃安全架構,保護敏感資料 Funny-Systems-OSS
[email protected]