Endurecimiento, lo que se revisa en la exportación

Una revisión de endurecimiento no consiste en recitar buenas prácticas, sino en comparar lo exportado con la lista de reglas de la organización. Cada hallazgo debe nombrar la regla incumplida y la línea de la exportación de la que sale. Si la regla no existe, lo que se tiene es una recomendación, no un incumplimiento.

Abre reglas-de-endurecimiento.txt y clientes-exportados.txt. Busca el cliente público que no exige PKCE, la comprobación extra que protege a los clientes públicos.

Cada regla de clientes revisa cosas distintas: que los públicos usen PKCE y redirecciones exactas, y que ninguno use el acceso directo con contraseña. Un mismo cliente puede incumplir una regla o varias; para el informe se cuenta cada cliente una sola vez.

Cuenta los clientes de clientes-exportados.txt que incumplen al menos una de las reglas de clientes.

El reino también tiene parámetros que se miden: si exige conexión cifrada, cuánto vive una sesión, cuánto vive el token de acceso. Un token que vive mucho es una credencial que, si se copia, sirve durante mucho tiempo.

En parametros-del-reino.txt compara cada parámetro con su regla. Cuenta cuántos parámetros incumplen la regla.

El reino master manda sobre todo el servidor. Sus cuentas se revisan con tres preguntas: si tienen segundo factor, si se usan, y si son nominales. La cuenta que trae la instalación y se sigue usando sin segundo factor es el hallazgo más delicado de la revisión.

Abre cuentas-master.txt y busca la cuenta del reino master sin segundo factor que inició sesión en la última semana.

Con una lista de hallazgos hay que ordenarla. Un criterio sensato combina el poder de lo expuesto y la facilidad de aprovecharlo. Una cuenta de administración sin segundo factor y a la que se llega desde Internet, desde un servidor que manda sobre todos los reinos, pesa más que un parámetro de duración de sesión o que un cliente de poco alcance.