Credenciales y sesiones tras un aparato expuesto

Cuando un aparato guarda secretos y hay evidencia de que pudieron salir, rotarlos es obligatorio. El orden es lo delicado. Si se cambia una contraseña mientras la persona ajena todavía tiene una sesión abierta o el aparato sigue sin parche, el secreto nuevo queda guardado en un aparato que ella aún puede leer, y el esfuerzo se pierde.

Por eso la regla 2 del equipo fija tres pasos: contener (cortar sesiones y retirar cuentas ajenas), actualizar y solo entonces rotar. Los secretos se rotan desde un estado limpio, y se comprueba después que el secreto viejo ya no sirve.

Abre secretos.csv y notas-auditoria-de-cuentas.txt. La regla 1 dice que se dan por expuestos todos los secretos guardados en el aparato con evidencia. La regla 4 añade que una contraseña repetida en otro aparato también se rota allí. Hay un secreto de otro aparato que no fue comprometido pero comparte contraseña con uno de la pasarela, y lo cuenta la auditoría.

Los secretos que están guardados en otro lado y solo se usan contra la pasarela no se rotan por esta razón.

Rotar una contraseña no cierra una sesión ya abierta: la sesión sigue viva con la credencial vieja hasta que alguien la cierra. En sesiones-activas.csv están las conexiones abiertas en este momento. Comparado con indicadores.txt, una sola corresponde a una cuenta que no está en la lista de autorizadas y viene de un origen del aviso.

Esa es la sesión que se corta primero, como parte de contener.

Algunos secretos tienen otro extremo: la clave de un túnel entre dos sedes está en dos aparatos, y la cuenta con la que la pasarela consulta el directorio de usuarios está también en el directorio. Si solo se cambia un lado, el túnel se cae o la autenticación deja de funcionar.

En la columna otro_extremo aparece el nombre del controlador de dominio de Pirineo. Quien rota ese secreto tiene que coordinarse con quien administra el directorio, y hacerlo en una ventana donde un fallo de inicio de sesión se pueda tolerar.

Las personas que se conectan por VPN usan su contraseña personal. Esa contraseña no está en la configuración del aparato, pero cuando la sesión pasó por la pasarela comprometida, el tráfico del inicio de sesión pudo ser visto. La decisión de pedir a las personas usuarias un cambio de contraseña se toma con la evidencia, y no de forma automática: depende de si hubo ese acceso a la pasarela.