Que n’aimez-vous pas à propos de Google Cloud Firestore?
Nous avons été piratés, et notre nombre de lectures a littéralement explosé de milliards de lectures en peu de temps, notre facture a grimpé de milliers de dollars et comme nous n'avons pas pu expliquer cela à nos parties prenantes, nous avons dû arrêter le développement et nos emplois sont moins stables qu'avant.
Nous avons mis en place des alertes et des quotas sur notre API, mais les lectures ont contourné l'API et nous avons donc été alertés lorsque notre facture est arrivée - si nous avions eu notre temps à nouveau, nous aurions trouvé un moyen de définir des alertes sur les lectures de Firevase lui-même, mais nous avions fonctionné sur la prémisse que les lectures auraient été via nos API.
Notre équipe de sécurité nous a conseillé que l'exigence d'inclure le fichier d'identifiants Google dans notre application Android (afin que l'application sache quel point de terminaison utiliser) signifiait que notre point de terminaison Firestore était visible pour tout le monde, donc nous comptions sur les règles pour fonctionner. Nous étions confiants que c'était correct et que le fait d'avoir des règles en place atténuerait ces risques.
Ce que nous avons vécu, c'est qu'un agent malveillant, sans aucun gain pour lui-même, a trouvé un moyen de détruire notre service et de faire grimper notre facture.
Au cas où cela aiderait quelqu'un, nos règles sont ci-dessous. Celles-ci n'ont pas fonctionné et soudainement nous faisons face à une facture massive qui a considérablement endommagé la réputation de notre unité commerciale au sein de notre organisation.
Nous n'avons (à ce jour, cela fait environ 20 jours depuis que l'attaque a été notée) reçu aucune assistance utile de Google pour découvrir comment l'attaque a fonctionné, mais notre équipe de sécurité suppose que quelqu'un a réussi à faire croire que ses requêtes provenaient de notre domaine.
Nous utilisons l'authentification Microsoft - notre produit était destiné aux clients professionnels - et avions testé avec succès la sécurité avec des comptes non authentifiés et des comptes authentifiés en dehors de notre domaine. Avis collecté par et hébergé sur G2.com.