Voreinstellungen entscheiden: Beispielgeheimnisse, neue Timeouts und ein Modell für zwei Firmen
Serguey Asael Shinder2 Min. LesezeitVier Meldungen der vergangenen Tage wirken unverbunden: eine Reihe von Sicherheitshinweisen, ein Webserver-Patch, ein Patch für einen Paketmanager und ein Datenschutzprodukt. Zusammen gelesen handeln sie von Voreinstellungen – den Werten, die ein System nutzt, wenn niemand bewusst entscheidet.
Die Voreinstellung, die ein Geheimnis war. In den Hinweisen zu Trigger.dev waren die kritischen Probleme keine raffinierten Angriffe. Ein Koordinations-Endpunkt prüfte gegen eine feste Zeichenkette, coordinator-secret, die im öffentlichen Quellcode stand, und die Docker-Beispieldatei enthielt feste Schlüssel zum Signieren von Login-Links. Die Variablen zum Überschreiben waren nicht dokumentiert; der sichere Weg verlangte also, den Code zu lesen. Wer der Dokumentation folgte, betrieb die Voreinstellungen.
Die Voreinstellung, die Streaming brach. Caddy 2.11.6 führte standardmäßig vernünftig klingende Leerlauftimeouts ein. Sie kappten Server-Sent-Events-Streams nach genau 60 Sekunden und konnten den HTTP/2-Proxypfad abstürzen lassen; 2.11.7 behebt beides. Die Folgeversion übernahm zudem den Header Incremental aus RFC 10036 – einen Standardweg, mit dem eine Anwendung einem Proxy sagt, er solle nicht puffern, statt sich auf dessen Voreinstellung zu verlassen.
Die Voreinstellung, die 50 Megabyte kostete. pnpm 12.9.1 nahm einen WebAssembly-Build aus dem Hauptpaket und brachte es so von rund 55 MB wieder auf rund 4 MB. Alle Nutzer hatten ein Artefakt heruntergeladen, das nur WebContainer-Nutzer brauchten – weil es standardmäßig enthalten war.
Die Voreinstellung, die das Protokoll verbietet. Cloudflares neues OHTTP-Gateway gibt es, weil der Datenschutz von Oblivious HTTP nur hält, wenn Relay und Gateway von verschiedenen, nicht zusammenarbeitenden Parteien betrieben werden. Die bequeme Voreinstellung, beides beim selben Anbieter zu kaufen, hebt die Garantie vollständig auf, und im Datenverkehr wäre davon nichts zu sehen.
Was sie verbindet. Keiner dieser Fehler verlangte einen klugen Angreifer. Jeder entstand aus einem Wert, den jemand hingenommen statt gewählt hatte: ein aus einem Beispiel kopiertes Geheimnis, ein mit einem Update geerbter Timeout, eine für eine Minderheit gebündelte Abhängigkeit, eine Architektur, in der ein Unternehmen beide Schlüssel hält. Die Korrekturen sind ebenso unspektakulär: Voreinstellung entfernen, Überschreiben dokumentieren, die Wahl ausdrücklich machen.
Was das bedeutet
Die meisten Konfigurationsprüfungen kontrollieren, was ein Team gesetzt hat. Nützlicher ist eine Prüfung, die auflistet, was es nicht gesetzt hat, und fragt, woher jeder dieser Werte stammt. Bei selbst gehosteten Plattformen heißt das, die eingesetzten Geheimnisse mit den öffentlichen Beispielen des Projekts zu vergleichen; bei Proxys, die Versionshinweise jeder Minor-Version auf neue Voreinstellungen zu lesen; bei Datenschutzarchitekturen, aufzuschreiben, welches Unternehmen welche Station betreibt.