Cuentas de almacenamiento y firmas de acceso

En este proveedor el acceso anónimo se decide en dos sitios y no en pie de igualdad. Cada contenedor declara su nivel: privado, lectura anónima de sus archivos o lectura anónima también del listado. Y la cuenta entera tiene un interruptor que permite o bloquea el acceso anónimo; cuando la cuenta lo bloquea, el nivel del contenedor deja de importar y nada responde sin credencial.

Esto cambia la recomendación respecto del primer proveedor, donde el acceso público se revisaba depósito por depósito. Aquí la corrección más barata y más completa es un cambio en la cuenta, no una ronda por cada contenedor, y conviene escribirlo así para que el cliente lo aplique una vez.

Dos contenedores del cliente están declarados con lectura anónima, y solo uno de ellos es un hallazgo: el otro está en una cuenta aprobada por escrito para publicar. El trabajo es cruzar el nivel del contenedor con el interruptor de su cuenta y con lo que el cliente declaró como público a propósito.

Abre el laboratorio y lee primero cuentas.txt.

Una firma de acceso es un enlace con permisos y fecha de caducidad incrustados. Hay tres clases, y la diferencia entre ellas no es cosmética: es con qué se firman, y de eso depende cómo se anulan.

La firma de servicio y la firma de cuenta se firman con la clave de la cuenta de almacenamiento. La de delegación de usuario se firma con una clave que la plataforma entrega a una identidad, y por eso se puede cortar revocando esas claves o quitándole el rol a quien la pidió. Solo la de servicio admite atarse a una política de acceso almacenada, que es la única forma de anular una sola firma sin rotar la clave y tumbar todo lo que la esté usando. Además, el servicio no lleva registro de las firmas emitidas: el inventario del cliente es todo lo que hay, y casi siempre está incompleto.

Los permisos de una firma se leen letra a letra y se escriben en el informe en castellano, porque es lo que decide el impacto: no es lo mismo un enlace que solo deja leer un archivo que uno que deja escribir y borrar en toda la cuenta. Para dimensionar el hallazgo, el evaluador cuenta cuántas de las firmas vivas permiten algo más que leer.

El hallazgo de una firma mal puesta se sostiene sobre cuatro datos y ninguno más: qué alcanza, qué permite, hasta cuándo vale y cómo se corta. El valor de la firma no se copia en el informe, ni siquiera parcialmente: se identifica por su recurso y su vencimiento. Y la recomendación tiene que ser aplicable: pedir que se rote la clave sin avisar de que eso anula también las demás firmas de esa cuenta es dejarle al cliente una caída de servicio como regalo.