なぜ「長寿な認証キー」を使い続けるのは危険なのか？即刻見直すべきセキュリティの常識

認証キーの長期利用はセキュリティリスクの温床です。今すぐ短命で安全なキー運用への切り替えを検討しましょう。

背景が固定されてるせいで、スマホの画面にゴミが付いてるのかと思ったよ。

そもそもキー自体、基本使わない方がいいよね。システムAからキーをコピーしてシステムBに貼り付ける、みたいなやつ。CIとかでは特に。継続的な認証・認可の仕組みを使うべき。

なるほど、でもさ、Jiraが長期有効キーを廃止した今、SentryインスタンスをどうやってJiraと連携してチケット作成すればいいと思う？6週間おきとかにトークン更新しなきゃいけないんだよね。結局、長期的な「アクセス権」は必要なわけよ。それがOAuthの更新トークンだろうがキーだろうが、正直どっちでもいいというか、あまり重要じゃない気がする。

もし誰かが常にキーやパスワードを推測しようとしていると仮定すれば、時間が経つほど正解される可能性は高まる。

総当たり攻撃で突破できるようなら、ローテーションさせたところで結局何度もやられるだけだよ。それならパスワードをあと数文字長くする方がよっぽどマシだね。

全く同感！最近スタートアップのインフラ周りをやってるんだけど、可能な限りOIDCやIRSA（GoogleならWIF）を使うようにしてて、これが最高。要するに、永続的なキーを一切持たなくていいんだ。

短期間トークンを生成するスクリプトで一部のCLIをラップしなきゃいけないのは少し面倒だけど、Vaultに保存するキーやパスワードなしでサービス同士が安全にやり取りできるのはマジで魔法みたいだよ。

メリットもたくさんある。例えば、数週間前にTrivyのGitHub Actionsが侵害された件があったけど、こっちのGitHub Actionsには漏洩するキーなんて一つも入ってなかったからね！あと、チームのエンジニアが退職する時に、共有クレデンシャルのローテーションを急いでやる必要がないのもすごく楽。

動的クレデンシャルはどう？HSM（ハードウェアセキュリティモジュール）を導入すればいいんじゃない？昔よりずっと安くなってるし。FIDO2キーをデプロイして、長期有効キーはそこに入れといて、HSMを動的クレデンシャルサーバーとして機能させる感じで。

Vercelのホスティングが侵害された件で大量のキーをローテーションしなきゃいけなくなって、本当に面倒だった。だから今、短期間キーの自動ローテーションを導入してる最中だよ。あの時はマジでしんどかった。