Secretos y su almacenamiento

Un objeto Secret guarda sus valores codificados en base64. Esa codificación existe para que cualquier valor, incluso binario, quepa en un texto: no tiene clave y se deshace con una orden de una línea. La documentación oficial de Kubernetes lo dice sin rodeos: por defecto, los secretos se guardan sin cifrar en el almacén de estado del clúster, y cualquiera con acceso a la API para leerlos, o con acceso al almacén, los obtiene.

Lo que protege un secreto es otra cosa: permisos mínimos para leerlo, cifrado en reposo en el almacén y, cuando hace falta más, un gestor de secretos externo al clúster.

Abre el laboratorio y compara lo que hay en los secretos con lo que hay en los mapas de configuración. Un mapa de configuración (ConfigMap) es para ajustes que no son sensibles: idiomas, modos, nombres de servicios. Los roles de lectura suelen dejar leerlos, y de hecho la cuenta del evaluador ve su contenido. Un valor sensible guardado ahí lo lee cualquiera con lectura general, aunque los secretos estén bien cerrados.

El cifrado en reposo se configura en el servidor de la API con una lista de proveedores para cada tipo de recurso. El orden importa: el primero de la lista es el que se usa al escribir, y los demás solo sirven para leer lo que ya estaba guardado con ellos. Uno de los proveedores posibles no cifra nada, y existe para poder migrar de un esquema a otro. Si ese queda primero, añadir una clave de cifrado más abajo no cambia cómo se guardan los secretos nuevos.

El evaluador no ve los valores, pero sí puede leer lo que el cliente anota sobre ellos. La fecha de la última rotación pesa en la severidad: un secreto que no se ha cambiado en años es uno que han podido ver todas las personas y sistemas que pasaron por el clúster en ese tiempo, y cuyo cambio nadie ha practicado.

Un hallazgo de secretos rara vez se corrige con un solo cambio, porque suele tener tres partes: dónde está el valor, quién lo puede leer y cómo se guarda. El informe cita el mapa, la clave y la fecha de lectura, nunca el valor.