Cuentas de emergencia y administradores sin protección

Una cuenta de emergencia resuelve un bloqueo que no se puede resolver de otra manera: el proveedor de identidad de la sede no responde, el único administrador se fue, o una política mal escrita dejó a todo el mundo fuera. Por eso se queda al margen de las políticas que bloquean o condicionan la entrada.

Esa excepción se paga con cuatro condiciones que casi todas las guías de arquitectura de identidad repiten, y que suelen estar también en el procedimiento interno de la empresa: que la cuenta no dependa de ningún sistema que pueda caer (es decir, que viva solo en la nube), que use un método de autenticación resistente a la suplantación y distinto del que usan los administradores todos los días, que cada uso dispare una alerta, y que se pruebe cada pocos meses para saber que sigue funcionando.

La primera comprobación es la más simple: de dónde viene cada cuenta de emergencia. Una que llegó sincronizada arrastra a la nube la disponibilidad y los problemas del directorio de la sede, que es justo lo que la cuenta existe para esquivar.

Abre el laboratorio y mira el origen de cada una.

La segunda comprobación es la alerta. Una cuenta que está fuera de todas las políticas y además entra sin avisar a nadie es una puerta abierta y silenciosa: su uso legítimo y su uso indebido se ven exactamente igual, que es decir que no se ven.

Vuelve al laboratorio y cruza origen y vigilancia.

Alrededor de las cuentas de emergencia están los administradores normales, y ahí la pregunta es otra: con qué entra cada uno. Una cuenta que administra el inquilino y solo tiene una contraseña registrada es un hallazgo por sí misma, independiente de las políticas.

Al escribir este apartado hay que decidir contra qué se compara lo encontrado. La elección cambia la fuerza del hallazgo delante de quien lo lee.