El directorio y lo que responde sin credenciales

Para hablar con un directorio hay que abrir una sesión. Esa sesión puede abrirse con una cuenta o sin ninguna, y esa segunda forma existe a propósito: un cliente que acaba de llegar necesita preguntar «¿quién eres y cómo me oriento aquí?» antes de tener con qué identificarse.

Lo que contesta a esa pregunta se llama contexto raíz: los nombres de los contextos que sirve, las versiones que habla, el esquema. Es información de orientación, no de contenido. Que un directorio la entregue no es un fallo; es cómo funciona el protocolo.

El hallazgo empieza cuando la sesión sin cuenta devuelve contenido: usuarios, grupos, atributos. Ahí la frase del informe cambia de «hay un directorio» a «cualquiera que alcance el puerto se lleva la plantilla de la empresa», y eso vale para quien prepara un ataque de contraseñas, para quien redacta un correo de engaño y para quien quiere saber quién manda.

Dos de los servicios de la tabla responden solo con la orientación. Uno responde con contenido. Y hay un cuarto que ni siquiera es un directorio: es una aplicación que lo consulta, y pide usuario y contraseña como cualquier otra.

Abre el laboratorio y mira la columna que dice si la sesión sin credenciales devolvió algo más que el contexto raíz.

Cada cuenta del directorio tiene campos de texto libre pensados para notas de administración: para qué sirve la cuenta, a quién llamar, cuándo se creó. Nada en el protocolo distingue esos campos de los demás: quien puede leer la cuenta, los lee.

Es uno de los hallazgos más frecuentes y más fáciles de corregir en una red interna, y aparece sin buscar nada raro: basta con leer la muestra que devolvió el servicio y fijarse en qué escribió el administrador que configuró el equipo.

El hallazgo anterior tiene una trampa de redacción. La evidencia es una contraseña, y copiarla en el informe la multiplica: ahora vive también en un documento que circula por correo, se imprime y se guarda en la carpeta del proyecto durante años.

Lo que se hace es citar dónde está —el objeto, el campo y la fecha de la evidencia— y describir el valor sin reproducirlo. Si el cliente necesita verlo, lo consulta en su propio directorio, que es donde ya está. Y la recomendación tiene dos partes, no una: vaciar el campo y cambiar la contraseña, porque limpiar la nota no deshace el tiempo que estuvo visible.