事故摘要

Storm-0558 事件揭露簽章金鑰治理一旦失效，攻擊者就能沿著身分信任鏈存取雲端郵件服務。

本案例的演示焦點：簽章金鑰外洩 → 偽造可被驗證 token → 跨租戶身分接管的 federated trust chain 失效。屬於高層信任根（key material）類別、有別於前端社交工程或邊界漏洞。

攻擊路徑

1. 取得可用的簽章金鑰材料。
2. 偽造可被驗證的身分權杖。
3. 以合法樣態存取目標信箱與資料。

失效控制面

• 簽章金鑰生命週期治理與隔離策略不足。
• 權杖驗證邊界缺少跨服務一致性檢查。
• 高風險身分事件的追查與升級節奏偏慢。

如果 workflow 少一步會發生什麼

若少了「跨租戶權杖異常立即升級」步驟，攻擊者可在低噪音條件下維持存取並擴大影響面。

可落地的 workflow 檢查點

• 發布前：把簽章金鑰納入硬體保護與輪替節奏（HSM-bound、不可導出 / 強制輪替週期），mechanism 是讓金鑰即使被讀也無法搬離保護邊界。
• 日常：監控 authentication 與 incident timeline 的異常關聯（跨租戶 token 出現相同 issuer 但不應跨域的軌跡）。
• 事故中：同步執行金鑰收斂、權杖失效、受影響範圍比對（前提是 token validation 路徑可在 fleet 層級熱抽換 issuer）。

從本案例到實作的 chain

本案例是事故敘事 layer，沿三步 chain 進入 implementation：

• 失效樣式：Federated token trust drift + 第三方授權濫用 —— 把跨租戶 token 驗證邊界失效的 mechanism 抽象為可重用失效樣式。
• 控制面：7.5 工作負載身份與 federated trust + 7.8 secrets 與機器憑證治理 —— mitigation 的 mechanism / 前提 / context-dependence 在這裡定義。
• 演練 / 控制落地：Identity support token tabletop + Credential hygiene pattern + Evidence chain pattern —— 把樣式轉成演練、輪替欄位與證據鏈。

來源