事故摘要

Cloudflare 在 2023 年事件說明中展示了供應商端事件如何傳導到客戶端身分流程，並觸發大規模憑證與 token 收斂作業。

本案例的演示焦點：上游 Identity Provider 事件 → 下游客戶側 token / session 收斂壓力的 identity-chain 風險傳導。其他 threat surface（直接 phishing / 邊界零時差 / 供應鏈植入）由其他 case category 承擔。

攻擊路徑

1. 攻擊者先利用供應商支援流程取得線索。
2. 嘗試使用取得的資訊進入客戶端環境。
3. 透過 token、session 或憑證鏈路擴展存取。

失效控制面

• 供應商事件觸發條件與內部 runbook 連動不足。
• 高權限 token 的失效與輪替策略準備度不足。
• 受影響資產盤點與證據保存流程分離。

如果 workflow 少一步會發生什麼

若少了「供應商事件即啟動全域 token 盤點」步驟，事件判讀會停在公告層，內部可利用憑證仍持續存在。

可落地的 workflow 檢查點

• 發布前：為第三方事件設計獨立 runbook 與責任分工，mechanism 是讓供應商公告直接 trigger 內部盤點，不停在「閱讀公告」layer。
• 日常：維護 playbook 的憑證輪替優先級（依 token 範圍 / 受影響 tenant 分層、不是平均輪替）。
• 事故中：先凍結高風險憑證、再分批恢復必要權限（前提是事先有 token 範圍 inventory、否則無法分批）。

從本案例到實作的 chain

本案例是事故敘事 layer，沿三步 chain 進入 implementation：

• 失效樣式：第三方授權濫用 + Overscoped 第三方 token grant —— 把本案例的 mechanism 抽象為可重用失效樣式。
• 控制面：7.2 身分與授權邊界 + 7.5 工作負載身份與 federated trust —— mitigation 的 mechanism / 前提 / context-dependence 在這裡定義。
• 演練 / 控制落地：Identity support token tabletop + Credential hygiene pattern —— 把樣式轉成 tabletop 與 release gate 欄位。

來源