Bunny CDN, 제공사 침해로 아르메니아 노드 폐기하고 TLS 인증서 전면 재발급

Bunny가 아르메니아에서 쓴 건 Gcore야. Gcore가 털린 거고 Bunny는 POP 하나에서 영향받은 다운스트림일 뿐임. 제목이 심하게 과장됐어.

오해는 아니지. 여기 Bunny 쓰는 사람 많고 이건 관련 있는 보안 사고잖아. 대형 실패가 아니라 '이런 일이 있었으니 해당되면 대응하라'는 안내고, 제품이 인프라 제공자 사고 때 딱 이 문구로 알려주는 걸 나는 원함.

서비스 제공자는 아웃소싱 결정과 그 결과를 자기 책임으로 짊어져야 함. 허접한 호스팅 써서 털리는 것도 그 서비스를 쓰는 리스크고, Bunny는 지금 자기 일처럼 처리하는 중임.

Uber Eats에서 30분 걸려 주문 넣었는데 마지막 확인에서 식당이 그날 영업 끝났다고 뜬 적 있음. 전화하니 식당은 자기도 UE 시스템을 못 건드린다고 하더라. 아니지, 전화로 받으면 되고 자기 고객한테 제대로 서비스하는 서브컨트랙터를 고르면 됨. 클라이언트에 '서브컨트랙터 잘못은 내 문제 아님'이라고 하면 웃음거리 됨.

다운스트림으로 영향받은 것도 보안 사고인 건 맞는데 제목이 왜 오해라는 건지 모르겠음. 맥락이 불완전한 건 인정.

대응은 신속하고 유능했음. 신고 받고 20분 내 라우팅 중단, 로그 보존, 서버 초기화, 접근 회수, 영구 제거까지 진행한 게 bunny답더라.

유능해 보이긴 한데 고객이 맡긴 TLS 인증서를 고객이 직접 폐기해야 한다는 부분이 제일 별로였음. 고객 시크릿이 실제로 침해됐다는 뜻이니까. 받은 메일에서 그 부분만 마음에 안 들었고, 모든 고객한테 후속 안내를 했으면 함.

편향돼 보일 수도 있는데, 같은 글을 Cloudflare가 썼으면 이 반응 안 나왔을 거임.

디스크에 캐시된 콘텐츠, Pull Zone 설정, TLS 인증서가 있었을 수 있다는 얘기면 제공사가 디스크 읽기 같은 걸 허용했다는 거냐? 내가 제대로 읽은 건가.

예측 가능한 일임. 예전에 동료랑 Bunny를 공급자 후보로 실사하면서 고수준 보안 개요 수준 질문을 했는데 돌아온 답이 계속 '보안상 말해줄 수 없다'였음. 그때 경보 울렸음. 자기 보안에 확신이 없어서 고수준 논의도 못 하는 제공자는 신뢰할 수 없음.

Bunny가 CDN POP 서버를 직접 소유하지 않는다는 건 꽤 알려져 있음. 그래서 임대한 쪽 보안에 항상 종속됨. 보안 원하면 돈을 내야 하고 Bunny는 저가 세그먼트임. 돈 낸 만큼 얻는 거임.

php.net이 Bunny를 쓰는 걸로 알고 PECL도 그렇더라. 이번에 안 걸렸으면 패키지가 오염될 가능성도 있었음. 그 특정 CDN에 연결해야 피해가 생기니 범위는 모르겠지만.

요즘 매시간 사고가 터지는 느낌임.

물리적 보안 얘긴가? 서버를 누가 들고 갔다든가. 코로케이션 제공자는 보통 그 이상 신경 안 쓰는데 요즘은 다른가.

기분 탓만은 아닌 듯. 며칠 여행 다녀와서 봤더니 톱페이지에 보안 침해 글이 다섯 개는 올라와 있음.

심각한 사고 수가 실제로 늘고 있음. 새로 나온 사이버 모델들이 엄청 유능해졌고, 수년간의 CEO 무관심이 이제 터지는 거임. LLM이 스크립트 키디를 위험한 해커로 만들어주고 있음.

침해 의심 상황에서 올바른 절차는 격리하고 증거를 전부 보존하는 것임. 어떤 데이터를 남기고 버릴지 선별하면 안 됨. 서버를 초기화했으니 증거를 인멸한 거고 실제 침해 여부와 경로를 영영 모를 수 있음. 사고 대응 계획이 없거나 형편없다는 뜻임.