STRIDE por elemento

STRIDE son las iniciales de seis familias de amenaza, y cada una viola una propiedad de seguridad. Suplantación (Spoofing): hacerse pasar por otro; viola la autenticación. Manipulación (Tampering): cambiar datos que no se debían cambiar; viola la integridad. Repudio (Repudiation): negar haber hecho algo sin que se pueda demostrar lo contrario; viola la trazabilidad. Divulgación de información (Information disclosure): que lea datos quien no debe; viola la confidencialidad. Denegación de servicio (Denial of service): impedir que algo funcione; viola la disponibilidad. Elevación de privilegios (Elevation of privilege): conseguir más permisos de los asignados; viola la autorización.

Cada categoría apunta a la propiedad que protege el control que se pondrá después, así que saber una es saber la otra.

En la práctica nadie dice «esto es manipulación»: dice una frase de lo que podría pasar. Hay que aprender a ponerle categoría leyendo la frase y fijándose en qué se rompe. Si lo que se pierde es la prueba de quién hizo algo, es repudio. Si se pierde el secreto de un dato, divulgación. Si se pierde que algo funcione, denegación. Si el problema es que alguien actúa como otro, suplantación; si actúa con más permisos de los suyos, elevación.

Una misma amenaza puede mezclar categorías, y no pasa nada: se anotan las que se rompen y cada una tendrá su control.

No todas las categorías tienen sentido en todos los elementos. Una entidad externa no tiene «privilegios» dentro de tu sistema que elevar; un flujo de datos no se hace pasar por nadie, aunque a su alrededor haya quien sí. La tabla de aplicabilidad del equipo de Farolito dice qué categorías se buscan en cada tipo: así cada amenaza va sobre el elemento donde de verdad puede ocurrir y no se llena el modelo de ruido. Consulta la tabla, compara con el tipo de elemento de cada amenaza del borrador y busca la que no corresponde.

Una amenaza puesta sobre el elemento equivocado suele ser una amenaza buena en el sitio malo: se corrige, no se descarta.

El borrador no solo puede tener amenazas mal puestas; también puede tener elementos sin ninguna. Cada elemento del diagrama merece al menos una pasada, aunque el resultado sea «aquí no encuentro nada». Un elemento al que nadie le puso una amenaza es casi siempre uno que nadie miró, y los registros y las bandejas de salida son los que más se olvidan porque no parecen un objetivo.

Buscar lo que falta en el modelo es tan útil como corregir lo que sobra.

Para cerrar la sala, un caso de flujo. El flujo interno entre la pasarela y el servicio de reservas viaja sin cifrar. En la tabla de aplicabilidad, un flujo de datos admite tres categorías: manipulación, divulgación y denegación. Sin cifrar y sin autenticación, quien tenga acceso a esa red puede leer lo que pasa, y también cambiarlo por el camino; que deje de llegar sería la tercera.

Leer una categoría no es etiquetar: es preguntarse qué se rompe de verdad en ese elemento concreto.