Vercel-Sicherheitscheckpoint

• Es gibt keine aussagekräftigen Inhaltsinformationen, sodass sich weder die Natur des Vorfalls noch sein Verlauf bestätigen lassen
• Im Hacker-News-Titel wird angegeben, dass ein Roblox-Cheat und ein AI-Tool die Vercel-Plattform beeinflusst haben
• Der Originaltitel wird als Vercel Security Checkpoint angegeben
• Die konkrete Ursache, das Ausmaß der Auswirkungen und die Reaktionsweise lassen sich mangels Belegen im Text nicht verifizieren
• Auf Grundlage der bereitgestellten Informationen lassen sich weder die Relevanz des Vorfalls noch technische Details zusammenfassen

---

Kein Inhalt

[GN⁺]

Hacker-News-Kommentare

• Der Text wirkte sehr stark wie ein KI-Erzeugnis. Es sah fast so aus, als habe man absichtlich holprige Grammatik eingestreut, um das zu verbergen, aber ob das wirklich nichts mit der inhaltlichen Genauigkeit zu tun hat, da bin ich mir nicht sicher

  • Ich habe beim Lesen unterwegs aufgehört. Ich bin inzwischen zu empfindlich gegenüber LLM-Tonfall, und das wirkte praktisch wie „ChatGPT, lies diesen Artikel und schreib ihn locker um“, mit kaum spürbarer echter Autorenschaft. Bei solchen Beiträgen sollte man auf HN nach Möglichkeit lieber die Primärquelle verlinken
  • Ich verstehe nicht, warum das Downvotes bekommt. Dieser Text kommt KI-Blogspam ziemlich nahe, enthält auch nicht mehr harte Fakten als Artikel wie https://www.darkreading.com/application-security/vercel-employees-ai-tool-access-data-breach und scheint voller leerer LLM-Formulierungen zu sein. Dass Leute so etwas bereitwillig lesen, finde ich etwas deprimierend
  • Ich habe gesehen, dass die Website des Autors auf Vercel läuft. Daher nehme ich an, dass die Person dem Problem tatsächlich ausgesetzt war und ein Eigeninteresse daran hat. Allein das macht es für mich schon eine Stufe besser als rein KI-generierten Inhalt
  • Der Stil wirkt eindeutig wie LLM-Prosa, aber wohl nicht vollständig. Vermutlich wurde nur ein Teil umgeschrieben. Noch beunruhigender ist, dass so etwas selbst an einem Ort wie HN, wo viele mit LLMs vertraut sind, einfach durchgeht. Ich möchte nicht, dass das zum Standard wird, aber noch auffälliger ist, dass das nicht einmal der erste Fall auf HN ist, in dem KI-generierter Text ernsthafte Reaktionen bekommt. KI für Code finde ich in Ordnung, solange Menschen gründlich prüfen, aber dass LLM-Prosa immer mehr die Frontpage besetzt, finde ich wirklich unerquicklich
  • Ich hatte genau denselben Eindruck. So schreibt normalerweise niemand

• Ich glaube, die Auslegung von „sensitive“ hier ist falsch. Soweit ich weiß, werden Vercels env vars beim Speichern alle verschlüsselt, und die sensitive-Checkbox bedeutet, dass Entwickler den Wert in der UI später nicht erneut sehen können. Das ist also eher ein Write-only-Konzept. Die App muss den Wert über env vars lesen können, deshalb wäre es von vornherein sinnlos, ihn so zu verschlüsseln, dass auch die App ihn nicht lesen kann. Wenn das Häkchen nicht gesetzt ist, lässt sich der Wert in der Projekt-UI anzeigen, was für allgemeine Konfigurationswerte wie DEFAULT_TIME_ZONE praktischer ist. Ich verstehe sensitive daher nicht als Aussage über Verschlüsselung, sondern über Sichtbarkeit in der UI. Ich arbeite nicht bei Vercel, habe es aber etwas benutzt, und die Kritik an diesem Punkt wirkt auf mich wie ein Strohmannargument

  • Genau, ich fand das ebenfalls verwirrend. Env vars, die ein Programm tatsächlich verwenden muss, müssen letztlich im Klartext injiziert werden. Man kann sie beim Speichern verschlüsseln, aber vor der Ausführung müssen sie wieder entschlüsselt werden. Das ist kein Vercel-spezifisches Problem, sondern eine Grenze der Systemarchitektur selbst. Vielleicht verbessert vollständig homomorphe Verschlüsselung das irgendwann, aber für ganze Programme ist der Overhead noch viel zu hoch und damit aktuell nicht realistisch
  • Nach Datenlecks hört man oft sofort „man hätte es verschlüsseln müssen“, aber viele verstehen die Grenzen von Verschlüsselung weder grundsätzlich noch praktisch. Verschlüsselung ist kein Synonym für secure oder safe
  • Ich weiß nicht genau, wie Vercel das umsetzt, aber auf anderen Plattformen bedeutet diese Kennzeichnung oft auch, dass der Wert in Logs maskiert wird
  • Bei uns hat man angefangen, Vault zu verwenden, und der Schlüssel zum Abrufen des Vault-Keys liegt in einer normalen, nicht versteckten env var. Ich halte das wahrscheinlich für die robustere Architektur
  • Andere Clouds machen es ähnlich. DigitalOcean zum Beispiel ebenfalls

• Ich will kein leichtes Bauernopfer konstruieren, aber ich frage mich schon, wie man dazu stehen soll, dass ein Context.ai-Mitarbeiter auf einem Arbeitsgerät gespielt und dazu noch ein Cheat-Programm aus fragwürdiger Quelle installiert hat. Über Defense in Depth und Sicherheitsebenen zu sprechen ist natürlich richtig, aber hier gibt es meiner Ansicht nach auch ganz klar persönliche Verantwortung. Die Fehler auf Vercel-Seite kann man als Versagen der Abwehrmaßnahmen auf Firmen- und Managementebene sehen, aber die Installation des Cheats ist davon getrennt noch einmal besonders gravierend

  • Ich glaube generell, dass das OpSec-Niveau bei Firmen, die KI einführen, niedrig ist. Sicherheit ist dort derzeit einfach keine Kernfunktion der Entscheidungsfindung. Schon der McDonalds-Vorfall vor zwei Jahren zeigte einen ähnlichen Trend
  • Ich glaube nicht, dass wir bisher wissen, ob der Mitarbeiter das wirklich auf einem Arbeitsgerät installiert hat. Zumindest steht das nicht in diesem Artikel, und ich habe es auch in anderen Quellen nicht gefunden. Viele Firmen erlauben VPN-Zugang ins Unternehmensnetz oder direkte Internet-Logins für manche internen Systeme. Das ist nicht wünschenswert, aber verbreiteter, als man denkt. Das erinnert mich auch an den Disney-Hack, der mit kompromittierter Software auf einem privaten PC begann. Nach allem, was ich selbst gesehen habe, ist die IT vieler Firmen deutlich löchriger, als man annimmt
  • Ich würde eher die IT-Abteilung verantwortlich machen, wenn Benutzer überhaupt beliebige Software installieren können
  • Dem stimme ich völlig zu. Schon die Vorstellung, Arbeit und Privates auf einem einzigen Laptop zu vermischen, halte ich für ziemlich gewagt. Bei einem der zehn wertvollsten Unternehmen der Welt standen auf den Schreibtischen der Ingenieure ein Arbeitsrechner ohne Internet und ein separater Internet-Rechner in einem anderen Netz. Mein Hauptarbeitsgerät gibt nicht einmal Töne aus. Nicht mal Sound. Ich glaube, die meisten Menschen können problemlos mit einem lautlosen Hauptarbeitsrechner arbeiten. Ich bin kein Technikmuffel und nutze viele NUCs, Raspberry Pis und Laptops, aber ich sehe überhaupt keinen Bedarf, auf dem primären Arbeitsgerät YouTube zu schauen oder Spiele zu spielen. Für Meetings kann man einen anderen Laptop haben, fürs Video-Schauen ebenfalls. Genau diese Kultur, mit demselben Laptop ins Café, ins Büro und dann auch noch zum Spielen zu gehen, hat Vercel zu Fall gebracht und wird noch viele weitere Firmen zu Fall bringen
  • Ich würde sagen, das ist nur eine von mehreren Ursachen. Natürlich war es eine schlechte Entscheidung, aber die Sicherheit anderer Systeme darf nicht davon abhängen, dass ein Arbeitslaptop niemals kompromittiert wird. Wenn das die einzige Verteidigungslinie ist, endet es zwangsläufig schlecht

• Ich halte Teile dieses Artikels für ungenau. Vercel-env-vars sind alle at rest verschlüsselt, und das Häkchen sensitive bedeutet, dass der Wert nach dem Setzen nicht mehr abrufbar ist, was in so einer Situation vermutlich sogar geholfen hätte. Und dass man so einen Text ohne einen einzigen Quellenlink lesen soll, fand ich ebenfalls ziemlich störend

  • Die UI-Entscheidung ist hier allerdings interessant. Die Umgebungsvariablenliste ist wie ein Passwortfeld verdeckt und hat sogar einen Anzeigen-Button, daher war mir vor dem Lesen des Advisories nicht sofort klar, wie wichtig das sensitive-Flag wirklich ist. Wir haben ebenfalls einige nicht als sensibel markierte Secrets und rotieren sie jetzt hektisch
  • Wenn tatsächlich einige Kunden-env-vars offengelegt wurden, kommt einem natürlich der Gedanke: Waren sie dann etwa nicht verschlüsselt?

• Im letzten Jahr habe ich ungefähr ein Dutzend von mir persönlich freigegebene KI-Tools überprüft, und 9 davon verlangten in Google Workspace Lesezugriff auf alle E-Mails und vollständigen Zugriff auf Drive. Dazu kommt, dass ich während des Onboardings unter Zeitdruck stand und die Berechtigungen gar nicht richtig gelesen habe, sondern einfach alles genehmigt habe. Ich frage mich, ob selbst technikaffine Leute das wirklich so machen. Ich hätte ernsthaft Schlafprobleme damit, jemandem Zugriff auf meine E-Mails und mein Google Drive zu geben, würde Berechtigungen so fein wie möglich einschränken und ungenutzten Apps den Zugriff sofort wieder entziehen. Auf dem Niveau sollte man eigentlich davon ausgehen, dass NDA-Inhalte und Vertrauliches aus den Mails bereits abgeflossen sind

  • Bei mir in der Arbeit bat mich ein anderes Team, bei der Integration eines von ihnen gekauften KI-Meeting-Notiztools mit Google Workspace zu helfen. Der Anbieter wollte, dass wir Domain-wide Delegation einrichten, damit er E-Mails und Drive-Dateien lesen und schreiben kann. Dadurch wären automatisch alle Benutzer der Organisation opt-in gewesen, ohne Widerspruchsmöglichkeit. Ich habe den Anbieter deshalb gebeten, stattdessen einen „weniger empfohlenen“ Weg freizuschalten, bei dem sich Nutzer selbst anmelden und den OAuth-Dialog akzeptieren. Während des gesamten Prozesses behandelten sowohl der Anbieter als auch meine Organisation das aber wie reine Zeitverschwendung. Wenn jemand freiwillig weitreichende Rechte vergeben will, ist das seine Entscheidung, aber es ohne Opt-out für die gesamte Belegschaft zu aktivieren, obwohl es nicht einmal ein Kerntool ist, finde ich unethisch. Von den Sicherheitsbedenken ganz zu schweigen. Noch beängstigender finde ich, dass Menschen offenbar aufhören nachzudenken, sobald etwas auch nur entfernt mit KI zu tun hat. Vor fünf Jahren hätten dieselben klugen Leute so etwas vermutlich nicht verlangt, heute halten sie es für okay, weil es alle anderen ja auch machen
  • Ich mache das persönlich nicht. Vor ein paar Tagen blieb mir der Satz im Kopf hängen, dass jeder, der sicher sein wolle, am Ende bei Stallmanscher Kloster-Computing lande. https://news.ycombinator.com/item?id=47796469#47797330 Das ist gleichzeitig sehr komisch und wahrscheinlich wahr. Ich würde die Vorteile von Agenten-Automatisierung gern nutzen, die frei mit meinen persönlichen Daten arbeiten darf, aber ich halte mich zurück. Die entgangenen coolen Funktionen sind zwar schade, aber Berechtigungen sind kein Problem nur des Augenblicks. Einmal erteilt, bleiben sie faktisch bestehen
  • Ich bin sicher, so etwas ist extrem häufig. Berechtigungsmüdigkeit und Popup-Müdigkeit sind real. Heutige Apps und Websites werfen den Nutzern Dutzende Popups entgegen, bevor sie überhaupt zu dem kommen, was sie eigentlich tun wollten. Ein Teil davon ist Marketing, ein Teil dumme Juristenpflicht, und nur ein Teil ist wirklich wichtig. Irgendwann klicken Menschen einfach auf „Ja, verstanden, weiter“, und die Sicherheit fliegt aus dem Fenster. Was ich mir immer vor Augen halte: Computersicherheit ist im Grunde fast eine Illusion, und Daten auf vernetzten Rechnern sollte man als halböffentliche Informationen behandeln. Dass ein Großteil der modernen Infrastruktur auf mit dem Internet verbundenen Computern läuft, darüber sollte man im Interesse der eigenen geistigen Gesundheit besser nicht zu lange nachdenken
  • So läuft es in der Realität. Der Chef sagt: „Mach heute Nachmittag vor dem großen Meeting erst mal schnell irgendwas zusammen“, und der Ingenieur denkt sich beim Setup nach allen Zustimmungen einfach, dass man das später schon noch bereinigt. Und sechs Monate später ist genau diese hastig zusammengeklickte Demo unverändert in Produktion
  • Ich würde das nicht als „Ich war zu beschäftigt und habe es ungelesen genehmigt“ beschreiben. Tatsächlich verlangte das Onboarding die Freigaben, und es gab gar keine echte Möglichkeit zur Ablehnung. Wenn man ablehnt, kann man die App nicht benutzen, also ist es faktisch erzwungen. Schon dieses Konzept ist falsch. Der Nutzer sollte auf „Ablehnen“ klicken können, ohne dass die App überhaupt erfährt, dass etwas verweigert wurde; sie sollte lediglich leere Daten erhalten. Dann könnte die App zwar nach den gewünschten Rechten fragen, aber der Nutzer könnte sie weiterverwenden, ohne diese Rechte zu geben. Das wäre die echte Lösung

• Meine Vermutung wäre, dass es sich nicht um irgendeine beliebige Google-Workspace-App handelte, sondern wahrscheinlich speziell um Gmail-Zugriffsrechte. Der Angreifer hatte wohl breiten Zugriff auf den Posteingang des Opfers und hat sich dann über Magic Links oder Einmalcodes in einige interne Systeme eingeloggt. Dann stellt sich die Frage, warum es keine 2FA gab und weshalb so weitreichender Zugriff überhaupt erlaubt war. Falls nicht, wäre die andere Möglichkeit, dass API-Credentials irgendwo in Google Workspace gespeichert waren, was zwar möglich, aber eine ziemlich seltsame Konstruktion wäre

• Dass es ausgerechnet ein Roblox-Cheat war, ist schon absurd. Meinem Sohn wurde wegen eines Roblox-Cheats auch einmal der Account kompromittiert, deshalb nehme ich das durchaus ernst. Damals wurden mit dem gestohlenen Gamepass-Cookie vier Minecraft-Lizenzen gekauft, und Microsoft hat zum Glück schnell erstattet

  • Das klingt fast so, als wäre Vercel von Teenager-Script-Kiddies kompromittiert worden. Positiv gesehen könnte das aber immerhin bedeuten, dass bald auch Festnahmen folgen
  • Ich frage mich eher, warum der Spiel-Cheat überhaupt ausgeführt werden konnte. Haben solche Firmen keine Gerätekontrollen oder ignorieren sie sie einfach? Das wirkt, als hätte ein Mitarbeiter den LastPass-Plex-Fehler praktisch wiederholt

• Bei diesem Artikel erscheint ein Fehler zur Browser-Verifikation

  • Ironischerweise wird die Seite auch noch bei Vercel gehostet

• Bei dem Satz „Wie viele Entwickler wussten wohl, dass es diese Checkbox gab, und wie viele gingen wohl davon aus, dass DB-Credentials und API-Keys standardmäßig verschlüsselt sind?“ dachte ich eher das Gegenteil. Wenn ich in einem Feld für Geheimnisse keine Sternchen sehe, drücke ich nicht einmal auf Speichern. Vielleicht wurde es programmatisch gesetzt, aber selbst dann hätte man wenigstens irgendein Secret-Flag explizit angeben müssen. Dass so etwas bei einer Firma wie Vercel passiert ist, wirkt auf mich schon seltsam

  • Bei solchen Eingabefeldern sollte man standardmäßig davon ausgehen, dass jemand sensible Informationen einträgt. Deshalb ist Verschlüsselung per Default für mich die einzig vernünftige Wahl
  • So wie man einen Brückenbauingenieur nicht fragt: „Haben Sie zufällig die Pfeilerverstärkung vergessen?“, dachte ich selbst mit wenig Sicherheitswissen immer, dass so etwas absolutes Basiswissen ist. Ich verstehe, dass Menschen wütend sind, wenn sie die Folgen davon zu spüren bekommen, sensible Daten im Klartext gespeichert zu haben, aber am Ende zahlen sie eben auch für ihre eigenen Praktiken. Das soll nicht bloß Victim Blaming sein, und Vercel trägt für diese absurde Situation eindeutig ebenfalls Verantwortung. Trotzdem bleibt bei mir am Ende ein gewisses FAFO-Gefühl

• Wirklich ironisch ist, dass sie die Sicherheitsprüfung jetzt offenbar noch stärker hochgedreht haben. Als ich versucht habe, den Originaltext mit einer älteren Firefox-Version zu lesen, bekam ich nur Failed to verify your browser, Code 11 und die Meldung Vercel Security Checkpoint. Ehrlich gesagt war das ziemlich nervig