Cuentas de servicio heredadas y sus riesgos

Una cuenta de servicio heredada suele reunir varios de los riesgos que OWASP enumera en su lista de identidades no humanas: secretos de vida larga (la contraseña no vence y lleva años igual), exceso de privilegio (se le dio un grupo amplio para no pelear con los permisos), reutilización (varias aplicaciones usan la misma cuenta) y uso humano (alguien la usa a mano porque «tiene permisos»).

El secreto de vida larga merece una explicación propia. Una contraseña que nunca cambia no es peligrosa porque alguien la vaya a adivinar, sino porque todo el que la tuvo alguna vez la sigue teniendo: el proveedor que instaló el sistema, la persona que se fue, el archivo de configuración copiado a un servidor de pruebas. Y cuanto más tiempo pasa, más difícil es cambiarla, porque nadie sabe en cuántos sitios está escrita.

Una cuenta de servicio se usa desde servidores y procesos, con inicios de tipo servicio o red. Un inicio interactivo (consola o escritorio remoto) significa que una persona escribió la contraseña y está trabajando con ella. Es el riesgo que OWASP llama uso humano de una identidad no humana: la persona hereda privilegios que no son suyos y lo que haga queda registrado a nombre de la máquina, no a su nombre.

Abre el laboratorio y lee registro-de-inicios.txt, fijándote en el tipo de inicio y en la nota final sobre los equipos.

Cuando varias aplicaciones comparten una cuenta, comparten también su destino: si una filtra la contraseña, todas quedan expuestas, y nadie puede rotarla sin coordinar a todos los equipos a la vez. Es peor aún si una de esas aplicaciones vive en pruebas, donde la contraseña suele acabar en variables de canalización, hojas de cálculo o equipos de desarrollo, y la misma credencial abre producción. OWASP lo trata como dos riesgos distintos: la reutilización y la falta de aislamiento entre entornos.

Lee uso-por-aplicacion.txt y mira la columna del entorno.

El mínimo privilegio de una cuenta de servicio se mide comparando lo que tiene concedido con lo que de verdad usa. Las auditorías de cada sistema dan el segundo dato; lo que no se usó en 90 días es candidato claro a retirarse, sobre todo si es una escritura, un borrado o una administración.

Lee permisos-efectivos.txt y quédate con la cuenta que encontraste en la tarea anterior.

La cuenta de las copias reúne tres problemas: contraseña de 2019 que no vence, grupo de administradores del dominio y un inicio interactivo desde el equipo de una persona. Rotar la contraseña sin tocar lo demás solo la cambia por otra igual de poderosa; borrar la cuenta detiene las copias. La corrección de diseño separa lo que hace la máquina de lo que hace la persona.