עדכון אבטחה · 1 בנובמבר 2026
Northflank מסרה שלקוחות דיווחו על שימוש בלתי מורשה במפתחות API לשירותי AI שנשמרו בפלטפורמה. בהודעת האירוע מ־30 באוקטובר היא הנחתה להתייחס למשתני הסביבה כאל מידע שנחשף, להחליף פרטי גישה ולבדוק חיובים אצל הספקים. עד 31 באוקטובר נוספה תמיכה בהחלפת סודות גם ל־RabbitMQ ול־Minio; יומני ביקורת הונגשו גם למשתמשים בחינם. העדכון האחרון שנבדק פורסם ב־31 באוקטובר בשעה 23:31 UTC. הודעת האירוע של Northflank.
למה זה חשוב
מפתח API הוא אמצעי הזדהות של יישום, לא רק הגדרה. החלפת הטקסט בהגדרות הפריסה אינה מבטלת כשלעצמה את המפתח הישן אצל השירות שהנפיק אותו. למנהלי מערכות יש שתי מטרות נפרדות: להפסיק את פעולת המפתח הישן, ולוודא שהיישומים המורשים מסוגלים להשתמש במחליף שלו. פריסה מוצלחת לבדה אינה מוכיחה ששתיהן הושגו.
לא לפספס סודות שעוברים בירושה
התיעוד של Northflank מסביר שקבוצות סודות מספקות ערכים לשירותים ולמשימות. ערכים המוגדרים ישירות בעומס עבודה גוברים על ערכים בעלי אותו שם בקבוצה. לכן שינוי הקבוצה אינו מוכיח שכל צרכן קיבל את פרטי הגישה הרצויים. בדקו הגדרות שדורסות את הקבוצה, והפעילו מחדש שירותים תלויים או הריצו משימות חדשות כדי להחיל ערכי זמן ריצה מעודכנים. תיעוד קבוצות הסודות.
בדיקה מעשית: נהלו רשימה בעלת גישה מוגבלת של שמות פרטי הגישה, השירותים שהנפיקו אותם, היישומים התלויים בהם ומצב האימות. אל תכניסו לרשימה את הסודות עצמם. הקצו אחראי לכל תלות ובדקו פעולה מורשית רגילה אחרי השינוי. אלה המלצות תפעוליות, לא ראיה שלקוח מסוים נפגע.
היומנים מסייעים בחקירה, אך אינם מבטיחים ודאות
אירועי הביקורת של Northflank כוללים את הגורם המבצע, המקור, הזמן והמשאבים המושפעים; מסננים מאפשרים למקד בדיקה בפרויקט או בתקופה. הם מתארים פעילות ב־Northflank, ולכן יש לבדוק בנפרד את רישומי ספק ה־AI החיצוני. חיפוש ללא תוצאות אינו מוכיח שלא נעשה שימוש במפתח במקום אחר. תיעוד יומני הביקורת.
עקבו אחר הודעת האירוע להנחיות עדכניות. דיווח זה אינו קובע את שורש התקלה, אינו מזהה תוקף ואינו טוען שכל לקוח חווה שימוש בלתי מורשה.