【緊急】CrowdSecのソースコードが流出か？セキュリティ上の懸念と現在の状況まとめ

CrowdSecのソースコードが流出したという情報が浮上しています。現時点で詳細な影響範囲や流出経路については調査中ですが、同プロジェクトを利用しているエンジニアやセキュリティ担当者は、今後の公式発表に十分注意を払う必要があります。最新情報を注視し、適宜セキュリティ対策の見直しを検討してください。

面白いことに、サイトのキャッチコピーを読むと、彼らは誰が攻撃してきているのかを把握できると主張しているみたいだけど、自分たちが誰に攻撃されたのかについては触れていないんだよね。結局のところ、彼らは本物のセキュリティ会社というより、悪意のあるIPを集めているだけの集約サービスってことだ。理想を言えば、こういうIP集約の問題は、データの信頼性が必要とされるし、維持費のために少額の手数料でデータ照会ができるような、信頼できる非営利団体がやるのが一番なんじゃないかな。

セキュリティ企業がハッキングされたか。

うちはボットやスクレイピング対策でCrowdSecを導入したよ。アーキテクチャはしっかりしているんだけど、結局、誤検知率が許容できないレベルだったんだ。これはIPレピュテーションを利用する手法全般に言える問題かもしれないね。導入準備に数ヶ月かけたのに、たった数日でオフにする羽目になったよ。

エクスプロイトを使ってコードを抜き出すための認証情報を盗み出したって感じだね。YubiKeyとGitアクセス用のSSL証明書を使っていれば、流出自体を防げたんじゃないかな。

Debian 13のVPSでCrowdSecのトラブルシューティングに午前中を費やした後にこれを見るのは笑えるな。どうやら、彼らから直接インストールするんじゃなくてDebianパッケージ版を使っていたせいで、コミュニティのブロックリストが提供されなくなったみたいなんだ（HTTP 500エラー）。彼らのSaaSプラットフォームに依存するのも嫌だから、LLMに頼んで公開ソースから独自のブロックリストを作らせることにしたよ。

またしても、言っていることとやっていることが一致していないセキュリティ企業か。一方では、個人情報（PII）の流出はなかったとされているけど、今回の件は彼らの内部運用が完全にダメだってことを示しているわけで、依然として危険信号だよね。これでまた一つ、お断りリスト（PNGフラグ）入りのベンダーが増えたってわけ。CrowdSecにCrowdStrikeか。

CrowdStrikeと混同しないようにね。あれは「本格的な」[0]セキュリティ会社だから。

[0] https://en.wikipedia.org/wiki/2024_CrowdStrike-related_IT_ou... (https://en.wikipedia.org/wiki/2024_CrowdStrike-related_IT_outages)

「Tanstackの侵害が流出経路である可能性が高い」
「プライベートコードベースを読み取る権限を持つAPIキーを盗むためにバックドアが仕込まれたようだ」
「さらなる事故を防ぐために必要なすべてのトークンと認証情報を即座にローテーションした」

APIキーをローテーションしただけで「さらなる事故を防ぐ」立場になれるのか？次のPyPIやnpmのサプライチェーン攻撃が起きたら、また新しいキーが盗まれるだけじゃないの？
そもそも、そのキーが何に使われているのかを見直して、権限範囲を絞るべきじゃないか？
GitHubにはAPIキーを使ったリクエスト元の制限機能ってあるのかな？それとも、まだそんなところまで到達していないのか？

もちろん……そのプライベートなコードに価値があるのかどうか、Fableに聞いてみるといいさ……