文章：利用工作负载身份联合机制在GCP中消除长期有效有效的凭证
长期使用的GCP服务账户密钥属于必须永久管理的机密信息，这些密钥难以定期更替，同时也很容易被泄露。将“工作负载身份联合机制”应用于120多个生产项目后，人们才意识到这种机制彻底改变了机器身份管理的方式：密钥仍然需要被妥善管理，但联合身份机制所代表的则是那些只需配置一次的信任关系，而这些信任关系的应用则取决于特定的属性条件。 作者：Shijin Nair
长期使用的GCP服务账户密钥属于必须永久管理的机密信息，这些密钥难以定期更替，同时也很容易被泄露。将“工作负载身份联合机制”应用于120多个生产项目后，人们才意识到这种机制彻底改变了机器身份管理的方式：密钥仍然需要被妥善管理，但联合身份机制所代表的则是那些只需配置一次的信任关系，而这些信任关系的应用则取决于特定的属性条件。
作者：Shijin Nair相关文章
威兹公司公布了“CosmosEscape”这一产品，而业内人士则纷纷讨论：消费者们本来可以采取哪些行动来应对这一情况。
Wiz Research公开了一种名为CosmosEscape的攻击工具，这种工具能够突破Azure Cosmos DB的Gremlin沙盒机制，进而获取一个能够在整个平台上被使用的密钥，从而对该服务中的所有数据库进行读写操作。微软在两天内就封锁了这一攻击途径，但直到2026年7月才成功移除了该密钥。业界专家们对这种“共同承担责任”的机制以及此次重组所带来的实际影响展开了讨论。 作者：Steef-Jan Wiggers
阅读全文
文章：无需消息代理的分布式Spring Batch框架
分布式Spring Batch系统在进行任务划分时，需要一个共享的、持久化的作业存储机制。本文认为，这个数据库本身就可以充当整个协调系统，因此无需使用消息代理。这种架构能够根据实际运行的节点数量来分配任务处理工作，每项任务都由单独的主节点负责执行，且不存在固定的协调者节点；通过“比较并设置”机制可以确保任务不会被重复执行，同时支持两阶段的心跳检测与故障转移功能。在某些情况下，使用消息代理仍然是更合适的选择。 作者：Janardhan Reddy Chejarla
阅读全文
eMudhra中级CA证书妥协方案
八份eMudhra中间证书的私钥已被泄露，这使得攻击者能够为任何网站伪造证书。这些密钥之所以会被暴露出来，是因为它们的熵值过低，并非由于任何已知的安全漏洞所致。浏览器通过使用撤销列表来阻止这些被泄露的密钥被利用，但其他软件仍需要将emSign ECC G3根证书从系统中移除。那些尚未安装补丁的系统仍然面临被伪造证书攻击的风险，包括那些用于客户端身份验证以及MTLS协议的系统。 作者：Chris Swan
阅读全文
文章：Spring Security 7中的服务器端DPoP机制与令牌交换技术
在Spring Security 7中，Spring Authorization Server被集成到了该框架中，且仍然使用相同的Maven坐标进行管理，因此这次升级仅仅是一个版本号的更新而已。本文档介绍了如何启用DPoP机制以及RFC 8693规定的令牌交换功能，解释了为什么在使用Spring Security 7.1的应用程序中，在调用 `.dPoP()` 方法之前，这些应用程序会暂时停止执行与DPoP相关的规则，并说明了如何将这两种机制结合起来，从而为服务之间的交互以及代理请求生成更加安全、且能限制发送方行为的令牌。 作者：Dhruv Agnihotri
阅读全文