Tailscale의 행복한 고객이라 편향됐겠지만, “취약점이 악용되진 않았어도 보안 도구인 만큼 침입을 우리 일로 받아들인다”는 책임감 있는 태도를 높이 평가함
조용히 넘어가도 아무도 문제 삼지 않았을 텐데 직접 공개한 점이 인상적임

이번 사고에 소프트웨어가 연관된 회사마다 며칠 안에 비슷한 글, 즉 광고성 글을 내놓을 듯함

Tailscale은 Valve처럼 기술을 이해하고 제대로 일한다고 신뢰할 수 있는 회사를 떠올리게 함
앞으로도 Tailscale만의 본질을 유지하길 바람

기업 홍보 문구로 포장하지 않고 책임을 인정하는 메시지를 내놓은 점이 반가움

편리한 기본 설정 때문에 탈취된 자격 증명의 피해 범위가 매우 커질 수 있도록 시스템을 설계한 책임은 Tailscale에 있으며, 마케팅 블로그 하나로 달라지지 않음

결국 여러 Tailscale 유료 기능을 홍보하는 광고이자 공익 안내문에 불과해 보임

Tailscale의 영리한 마케팅 글임
이런 상황에 도움 되는 비싼 기능들을 나열하는 동시에, Hugging Face가 재사용 가능한 인증 키를 환경 파일에 넣는 큰 실수를 했다는 점도 보여줌
Tailscale이나 NetBird 같은 메시 VPN 사용자라면 이것이 문 앞에 열쇠를 놔두는 것과 같다는 걸 알 것임

그런데도 모두가 그렇게 함
중간 수준 보안에는 괜찮을지 몰라도, 불편한 선택을 강제하는 고보안 모드가 제품에 필요할 수 있음

재사용 가능한 Tailscale 인증 키 하나가 외부 샌드박스들로 복사돼 며칠 동안 181개 노드를 Hugging Face의 tailnet에 등록했고, 각 노드는 CI 노드와 같은 접근 권한을 받았다는 점은 경보를 적용할 기회로 보임
Hugging Face가 예상치 못한 노드 181개 추가를 가장 적은 불편으로 감지하려면 어떻게 해야 할지 궁금함

금요일마다 모두가 푸시해 CI/CD 파이프라인 400개가 비슷한 수의 노드를 생성한다면 무엇이 비정상인지 알기 어려움
주문형 클라우드 컴퓨팅에서 누군가 모델 학습을 시작해 머신 50대가 생성될 수도 있으므로 예상 밖의 동작을 판별하기가 쉽지 않음

침투 테스트의 시작점은 늘 CI임
실력 좋은 침투 테스터들은 사람들이 Jenkins에 자격 증명을 저장하면서도 프로덕션만큼 심각하게 다루지 않는다는 걸 알고 먼저 공략함

Tailscale에 보안 점검 기능이 있는지 궁금함
모범 사례는 계속 바뀌므로 현재 권장 설정을 사용 중인지 확인할 수 있으면 좋겠음

이번 침해는 결국 Hugging Face 측의 인적 오류로 발생했음을 보여줌
Hugging Face는 보안 지표와 경보뿐 아니라 노드 수에 대한 지표와 경보도 우선하고, 장기 키를 이렇게 쉽게 접근 가능한 곳에 두지 말아야 함
에이전트가 Tailscale의 실제 취약점을 발견했다면 훨씬 획기적이었을 것임

그렇게 단순하지만은 않음
가장 쉬운 방법이 압도적으로 장기 키이고 그것이 기본 동작이며 문서에서도 사용을 적극적으로 만류하지 않는다면, 솔루션의 보안 태세에도 책임이 있음
AWS에서 액세스 키와 비밀 키가 있는 IAM 사용자를 만들면 “나쁜 생각이며 권장하지 않고 더 나은 대안을 사용하라”고 여러 차례 강하게 경고함
인증 서비스를 제공한다면 사용자를 덜 순진한 해법으로 안내할 책임이 있으며, 보안을 팔면서 기본값이 형편없다면 좋은 제품이라 보기 어려움

비밀 정보를 간단하게 관리하는 방법이 궁금함 sops나 Ansible Vault 등은 에이전트가 결국 암호를 읽어야 하고 비밀번호도 접근 가능하므로 너무 약해 보임
프록시 주입은 지나치게 복잡하고 모든 용도를 지원하지 못함

공격자가 사설망에 백도어를 만들고 VPN에 연결된 머신의 루트 권한까지 얻었다면 Tailscale 설정과 무관하게 게임은 끝난 것이므로, 애초에 VPN이 막아야 할 일은 아니라고 봄

Tailscale OAuth 클라이언트의 ACL 권한은 충분히 세분화돼 있지 않음
tailnet의 머신 한 대에만 한정된 인증 키를 발급하는 시스템을 운영하지만, 이를 구성하려면 OAuth 클라이언트에 ACL 전역 쓰기 권한을 줘야 함
따라서 키가 탈취되면 tailnet의 어떤 머신에도 접근 권한을 부여할 수 있으며, 이 문제는 2023년 GitHub 이슈로 제기됐지만 아직 해결되지 않음

Tailscale을 좋아하지만, 핵심을 세 문장으로 쓸 수 있는 내용을 AI가 작성한 듯한 2천 단어 글로 늘릴 필요는 없음
누구에게도 도움이 되지 않음