Кейс: токен утёк в логи
Вопрос
Выяснилось, что полгода сервис писал в общий лог заголовок Authorization с токенами пользователей. Что делаете?
Попробуйте сами
Ответьте вслух за 2 минуты, как на собесе. Потом сверьтесь с тезисами: что прозвучало, а что нет.
Показать ответ и разбор
Коротко
Что должно прозвучать в ответе
Остановить утечку: исправить логирование, маскирование
Оценить объём: какие токены, сроки жизни, кто имел доступ к логам
Отозвать действующие токены и сессии, принудительный перелогин
Удалить или очистить затронутые логи во всех хранилищах и копиях
Проверить следы использования токенов посторонними, оценить уведомление пользователей и регулятора
Системные меры: маскирование на уровне логгера, тесты, ревью
Что могут спросить следом
- Нужно ли уведомлять Роскомнадзор?
- Как сделать так, чтобы это не повторилось в других сервисах?
Разбор
Образцовый ответ: «Сначала закрываю источник: исправляю логирование и выкатываю. Затем оцениваю масштаб: сколько токенов, какой у них срок жизни, кто имел доступ к логам и куда логи реплицировались. Действующие токены и refresh отзываю, пользователей принудительно разлогиниваем. Логи с токенами удаляю или вычищаю во всех копиях: в системе логов, бэкапах, выгрузках. Анализирую, не использовались ли токены с чужих IP и устройств. Если был несанкционированный доступ к персональным данным, это инцидент по 152-ФЗ, и вместе с юристами решаем вопрос уведомления Роскомнадзора в установленные сроки. Системно: маскирование чувствительных заголовков и полей в общем логгере, тест на отсутствие токенов в логах, правило в ревью».
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.
Предыдущий вопрос
Ревью: конфигурация сервиса на Python
Следующий вопрос
Как организовать управление секретами