Credenciales que viajan sin cifrar, como hallazgo

Un usuario y un secreto que viajan sin cifrar los puede leer cualquiera que tenga acceso al tramo: un equipo comprometido, un conmutador mal protegido, una persona con acceso al cableado. No hace falta ningún ataque sofisticado; basta con estar en el camino. Ocurre con protocolos viejos como FTP o Telnet, con HTTP que usa autenticación básica o formularios de acceso sin TLS, y con la comunidad de SNMP versión 2c, que viaja sin cifrar y funciona como una contraseña.

La gravedad no depende de que el secreto se lea, sino de lo que esa cuenta puede hacer y de si se reutiliza en otros servicios. Una cuenta de solo lectura expuesta es un hallazgo; una cuenta administrativa expuesta es uno de los más graves del informe.

Para ordenar los hallazgos se cruza la lista de credenciales vistas con el rol que el área de TI del cliente declara para cada cuenta. El resumen guarda el usuario, el servidor y el puerto; el rol viene de otra tabla. Una consulta que las une deja a la vista cuál de las cuentas expuestas tiene los privilegios más altos.

Cruza las credenciales con los roles y busca la de mayor privilegio.

El resumen del hallazgo abre con un número: cuántas credenciales distintas se vieron en claro. Se cuenta sobre la tabla del resumen, no de memoria, y se anota junto con los protocolos implicados. Un número exacto con su consulta es más difícil de discutir que un «varias».

La evidencia tiene que bastar para que el cliente compruebe el hallazgo y no puede ser una fuga de las mismas credenciales que denuncia. Un informe se comparte, se archiva y se reenvía: lo que se pega en él deja de estar bajo tu control. Por eso se anota el usuario, el servidor, el puerto, el momento, el número de flujo o de paquete y el archivo de origen, y el secreto se enmascara. Quien quiera verlo, abre la captura con su huella.

La recomendación se hace en dos tiempos. Primero la raíz: que el servicio use un canal cifrado, con TLS en el servicio o con un protocolo equivalente cifrado. Después, el daño ya hecho: una credencial que viajó en claro se considera expuesta y se rota, porque nadie puede garantizar quién la leyó. Cambiar solo el puerto o solo la contraseña deja una de las dos mitades sin resolver.