ถ้า Server โดนเจาะ Secret ของเราจะเป็นอย่างไร
ช่วงนี้เห็นข่าวระบบถูกเจาะอยู่เรื่อย ๆ เลยลองกลับมาคิดเรื่องระบบของตัวเอง ถ้าวันหนึ่ง server ของเราถูกเจาะขึ้นมาจริง ๆ ผู้บุกรุกจะเข้าถึงอะไรได้บ้าง เรื่องแรก ๆ ที่ผมนึกถึงคือ secret ต่าง ๆ ที่ระบบใช้ ไม่ว่าจะเป็น database password, API key, JWT secret หรือ credential สำหรับเข้าถึงบริการอื่น ทุกวันนี้ผมมีทั้งระบบที่รัน…
บางทีคำถามที่ดีกว่า “เก็บ Key ไว้อย่างไรให้ปลอดภัย” อาจเป็น “เราจำเป็นต้องมี Key ชุดนี้จริงหรือไม่ และระบบควรได้รับสิทธิ์อะไรบ้าง”