Variables de entorno y lo que filtran en registros

Una variable de entorno la heredan los procesos hijos: lo que lanza el script, y lo que ese programa lance a su vez, la ven. Es cómodo y es lo que hace que una credencial puesta en el entorno del trabajo esté al alcance de cada herramienta que el trabajo ejecute, incluidas las que no la necesitan.

Las plataformas de CI añaden el enmascarado: sustituyen por asteriscos, en el registro, el valor exacto de los secretos que conocen. Ayuda, pero tiene límites: solo cubre los valores que la plataforma tiene declarados como secretos y solo cuando el texto coincide exacto (una versión recortada o transformada no se reconoce).

Abre el volcado de env del trabajo 7310. Hay variables cuyo valor aparece como *** y otra cuyo valor sale tal cual: nadie la declaró como secreto en la plataforma, así que no se enmascaró.

Pasar un secreto como argumento de un programa (--clave valor) lo deja visible: en la configuración habitual de Linux, cualquier usuario del equipo puede ver las líneas de comandos de los procesos de otros con ps, salvo que /proc se monte con restricciones. Los programas bien hechos aceptan el secreto por archivo o por entrada estándar, como hace el que notifica en este ejemplo.

Mira la lista de procesos del ejecutor mientras corre el trabajo 7310.

El script paso-firmar.sh empieza con set -x, que imprime cada comando con sus variables ya sustituidas. Es una ayuda de depuración excelente y una fuga fácil: lo que va en el comando va al registro. Cuenta cuántas líneas del registro del trabajo 7310 contienen el valor sensible, tanto las del rastro como las de otras etapas.

El secreto ya está en un registro que otras personas leen. Quitar el set -x evita fugas futuras, pero no limpia lo ya escrito. Y confiar en el enmascarado no es una defensa: es una red por si algo se escapa.