内网其他部门电脑中毒再扫描整个公司相关系统弱密码。。还真有人 gitlab 弱密码被拖库，代码被拖走多少不知道，但是线上私钥全部泄露，运维、公有云 AK SK 泄露，全部要更换。。。
加班 2 天了，下一周工作量爆炸。。

管理不规范吧，线上私钥不能提交到 Repo ，生产环境应该用环境变量读取这些敏感凭证

＃1 弱密码的这个人权限很大，私钥并不在线上库，但是他有权限。

我想起我刚工作的第二月，用组内生产 aliyun 的 AK 和 SK 写测试代码并在下班前推送到 GitHub 。结果 aliyun 第二天就邮件发到老大那里了，最后全组更换 AK 、SK 。并让我在开会时自行检讨......

曾经搞过，把公网的测试服务器密钥文件提交到 GitHub 了，收到了 GitHub 官方的警告邮件，然后去更新密钥，同时把 GitHub 文件和 commit 都删除了，挺吓人的

但凡加一步合并前代码审核，就不容易出现这种大坑

昨天才听一个朋友说他组内一个成员将国企内网的电脑接到公网上去了，然后公网和内网同时报警，从首都直接层层报警到终端单位......最终这哥儿 19 年工龄没了，净身去职。

盲猜是涉密单位或涉密岗位 + 单位已经提前警告不能这样做 + 哥们就是莽就是要上公网，只是被辞退，没被起诉坐牢已经是好结局了。

一般密码密钥大家都存在哪里？

胆子是真大。不过说起来为什么新人就能拿到 prod 的 key 也说明了平时没管过这个问题

见过不少网站能访问 .git 文件夹的 ，里面有 git 地址和访问凭证可以直接登上去😂

＃8 k8s secrets 里，或者第三方配置中心，consul 之类的。反正总之线上的任何 tk 、key 都不可能给开发的。只会提供额外的开发环境

没明白，你在内网啊…提交也是内网 gitlab 。核心问题是你内网被攻克了啊。锅肯定在 IT 身上，没 IT ？就算中毒了，谁知道你 gitlab 在哪…你杞人忧天了。其实没啥事…代码没啥了不起的。云密钥泄露也没事，你看操作记录就是了。大概率是自己吓自己了。当然，这是安全风险，吃一堑长一智。我以前碰太多把密钥提公开的 github 上的了，也没啥事…

it 增加安全，避免内网任何机器尝试扫描其他机器和设备
gitlab 增加二次认证
核心环境上堡垒机，并增加二次认证

怎么接得, 除非他自己就是管理网络得, 否则随便谁能在内外开通外网访问?

我们已经不给用 api key 方式做认证了，去年全部迁移到用 Managed Identity 来搞。

热点啊

我们 gitlab 我直接设置最小 255 位密码。平常用 sso 登陆网页。

使用 secret manager , 使用类似 vault 。测试和生产各一套 vault ，当需要使用的是 ExternalSecret 这样的工具从拉值创建最新的。

上线操作都是使用额外的密码生成工具，都是一次性密码

op 说的这种 无解，只能后面公司内部规范，没有必要的权限不要给

就相当于 总经理拥有的账号能查看所有信息，虽然他不会看你一个技术/运维提交的东西，但是他的账号能访问到，一旦总经理的密码被攻破或者弱密码 就等于 所有人的密码泄露

应用在公有云中运行，访问云本身的资源用 Role 授权不用 Key 。然后其他三方服务的 Key 全部放在 SecretsManager 中，使用 Role 在运行时获取，这样就可以做到不明文存储任何 Key

对于需要访问生产公有云账户的运维人员，登录开双因素认证

请教下，怎么扫描整个公司相关系统弱密码，用什么自动化工具呀，还是人工一个一个来搞

外网是怎么访问到内网的？还是说这个内网只是一个概念，并不是真正意义上的隔离😂