Antipatrones de confianza implícita en la red interna

La confianza implícita en la red interna trata la dirección de origen como si fuera una identidad: si la petición llega desde un rango interno, se acepta. El problema es que dentro hay miles de equipos, y basta con que uno se comprometa (un puesto de oficina, una impresora, un servidor con un agente olvidado) para que herede la confianza que el diseño dio a toda la red.

Los principios de confianza cero que viste en el módulo de identidad lo dicen al revés: la ubicación en la red no concede confianza por sí misma; cada petición se autentica y se autoriza. El patrón que lo lleva a la práctica entre servicios es la identidad de servicio en cada petición: un certificado o un token firmado que dice qué servicio llama, y una autorización por operación en el servicio que recibe.

El caso extremo del antipatrón es un servicio que no autentica nada cuando el origen es interno. Si además ese servicio hace algo con efecto en el mundo real, cualquier equipo de ese rango puede ordenarlo.

Abre el laboratorio y lee servicios-internos.txt, columna de autenticación, y la nota al pie.

Una variante más sutil: la aplicación toma la identidad del usuario de una cabecera que, en teoría, solo escribe el componente de la frontera después de verificar a la persona. Es un diseño válido si, y solo si, la frontera borra esa cabecera cuando llega del cliente y escribe la suya. Si no la borra, cualquiera puede enviarla con el nombre que quiera, y la aplicación lo cree porque confía en lo que viene de dentro.

Cruza identidad-en-las-aplicaciones.txt con rutas-pasarela.txt.

Antes de proponer el patrón hay que dimensionar el trabajo. Los servicios con certificado o token firmado ya llevan identidad de servicio; el que no autentica nada es urgente aparte; el de usuario y contraseña por persona es otro problema. Los que solo comprueban la dirección de origen son los que el nuevo patrón tiene que migrar.

El catálogo necesita una entrada nueva para reemplazar AP-03, pero el comité no puede esperar a que se escriba para actuar sobre el servicio que no autentica nada y sobre la cabecera que nadie limpia. Elegir el orden es parte del oficio: primero lo que cualquiera de dentro puede explotar hoy con efecto grave, después la migración ordenada del resto.