افشای اطلاعات فاجعه‌بار TiDB Cloud؛ از دسترسی غیرمجاز تا کلیدهای لورفته در جیرا

مقدمه و زمینه

شرکت PingCAP سرویسی به نام TiDB Cloud را ارائه می‌دهد که نسخه ابری و مدیریت‌شده دیتابیس متن‌باز TiDB است. بسیاری از شرکت‌های بزرگ، بانک‌ها و پلتفرم‌های تجارت الکترونیک بارهای کاری تولیدی خود را روی این پلتفرم چندمشتری (Multi-tenant) اجرا می‌کنند. مدل کسب‌وکار این شرکت بر این ادعا استوار است که میزبانی مدیریت‌شده ایمن و مطمئن است؛ اما افشای اخیر تمام این ادعاها را زیر سوال برده است.

جزئیات فنی و ابعاد نشت

بر اساس اطلاعات منتشرشده، مهاجمان توانسته‌اند حجم عظیمی از داده‌ها شامل بیش از ۱۰ ترابایت اطلاعات را در طول چندین هفته و بدون شناسایی توسط سیستم‌های مانیتورینگ خارج کنند. این نشت شامل بخش‌های زیر است:

• کنترل‌پلان (Control Plane): دسترسی کامل به دیتابیس متا، شامل بیش از ۱۸۰ هزار سازمان مشتری، صدها هزار رکورد کاربری و ده‌ها هزار کلید API کنسول که به صورت متن‌باز (Plaintext) ذخیره شده بودند.
• داده‌های مالی و هزینه‌ها: اطلاعات مربوط به هزینه‌های AWS، تخفیف‌ها، تراکنش‌های استرایپ و دفاتر درآمدی شرکت.
• کد منبع و مخازن: بیش از ۴۱۳ مخزن کد شامل موتور بیلینگ و کتابخانه‌های رمزنگاری که از الگوریتم‌های ضعیف یا مقادیر ثابت (Static IV) استفاده می‌کردند.
• گراف هویت و لاگ‌ها: میلیون‌ها رویداد GA4، لاگ‌های گویای اتصال گیت‌وی و اطلاعات دقیق تحلیل رفتار توسعه‌دهندگان.

یکی از تکان‌دهنده‌ترین بخش‌های این گزارش، استفاده مهاجمان از کلیدهای سرویس GCP و Azure بود که خودِ توسعه‌دهندگان PingCAP در مخازن کد کامیت کرده بودند. مهاجمان با استفاده از این کلیدها، یک پایپ‌لاین ریپلیکیشن راه انداختند و به مدت نزدیک به یک ماه، هر ۶ ساعت یک‌بار دیتابیس اصلی کنترل‌پلان را بدون هیچ‌گونه هشدار امنیتی تخلیه کردند.

نقش پشتیبانی در افشای ناخواسته

بررسی‌های فنی نشان داد مهندسین پشتیبانی PingCAP به طور مرتب در تیکت‌های Jira اقدام به کپی کردن کدهای دسترسی و اطلاعات حساس مشتریان کرده‌اند. در فایل‌های لورفته، مواردی از توکن‌های دسترسی AWS، توکن‌های گیت‌هاب با دسترسی‌های مدیریتی کامل، و کلیدهای API سرویس‌های هوش مصنوعی متعلق به مشتریان دیده می‌شود که به دلیل خطای انسانی در سیستم‌های ردیابی تیکت افشا شده‌اند.

واکنش‌ها و تحلیل جامعه توسعه‌دهندگان در Hacker News

در جوامع مهندسی نرم‌افزار مانند Hacker News، این حادثه واکنش‌های تندی به همراه داشته است:

• بسیاری از مهندسان از واکنش کم‌اهمیت و بیانیه‌های رسمی PingCAP ابراز تعجب کرده‌اند، در حالی که شواهد کاملاً نشان‌دهنده دسترسی مداوم و گسترده مهاجمان به سیستم‌ها است.
• انتشار کلیدهای تولیدی مشتریان در تیکت‌های پشتیبانی به عنوان یک سناریوی کابوس‌وار برای تیم‌های SRE توصیف شده است؛ به طوری که بسیاری از متخصصان اذعان کرده‌اند با وجود سال‌ها فعالیت، دیدن چنین رخدادی بسیار تکان‌دهنده است.
• زمان‌بندی این افشاگری درست پس از ممیزی‌های امنیتی سنگین، اعتبار فرآیندهای امنیتی شرکت را به شدت زیر سوال برده است.

چرا این مسئله برای مهندسان اهمیت دارد؟

این رخداد یادآور تلخی برای مهندسان زیرساخت، امنیت و توسعه‌دهندگان ابری است. این حادثه نشان می‌دهد که داشتن ابزارهای پیشرفته امنیتی (مانند EDR) کافی نیست وقتی پایپ‌لاین‌های CI/CD، مدیریت کلیدها و فرهنگ سازمانی در سطح پشتیبانی و توسعه رعایت نشود. برای توسعه‌دهندگانی که از سرویس‌های ابری و دیتابیس‌های مدیریت‌شده استفاده می‌کنند، این واقعه زنگ خطری جدی درباره اهمیت ممیزی امنیتی ارائه‌دهندگان شخص ثالث است.