Identidad de servicio y TLS mutuo

En el TLS de un sitio web solo el servidor muestra un certificado: el navegador comprueba que habla con quien dice ser, pero el servidor no sabe nada de quién está al otro lado. Entre servicios eso no alcanza, porque el que recibe la llamada necesita saber qué servicio la hace para decidir si la acepta.

El TLS mutuo resuelve esa mitad que falta. Cada servicio recibe un certificado firmado por una autoridad interna, y ese certificado lleva su identidad. El estándar abierto SPIFFE, por ejemplo, la escribe como una dirección con forma spiffe://dominio-de-confianza/ruta dentro del nombre alternativo del certificado. Lo que conviene retener es la idea: la identidad la emite y la rota la plataforma, no la escribe nadie a mano, y la decisión de aceptar una llamada se toma sobre esa identidad y no sobre la dirección IP de donde viene.

Abre el laboratorio y lee malla.yaml. La malla distingue dos modos: uno solo admite conexiones que presentan un certificado de servicio válido, y el otro también deja pasar texto plano sin certificado. El segundo existe para migrar sin cortar el servicio, y por eso mismo tiende a quedarse más de lo previsto: nadie lo apaga porque nada se rompe mientras está encendido.

Un modo permisivo que nadie usa es un riesgo; uno que se usa a diario es un hallazgo con alcance. En conexiones.log cada línea dice quién llamó, a qué servicio y por qué transporte. Las conexiones sin certificado no tienen identidad, solo una dirección, así que nadie puede decir qué servicio o qué aparato las hizo. Cuéntalas solo para el servicio de la tarea anterior y solo las que se aceptaron.

facturacion no está en la malla y configuró su TLS a mano. Pide certificado de cliente a todo el que llega y confía en la autoridad interna, así que su equipo da por hecho que está igual de protegido. Pero la autoridad interna firma los certificados de todos los servicios: comprobar que la firma es válida solo dice que el que llama es «alguno de los nuestros», no cuál. La lista de identidades permitidas solo sirve si alguien la consulta. Lee facturacion-tls.yaml y crúzalo con el registro de conexiones.

En certificados.txt todos los certificados duran 24 horas y se emiten solos, menos uno. Un certificado de servicio es una credencial: su clave privada vive en el servicio, y si alguien la copia puede hacerse pasar por él hasta que el certificado venza o se revoque. La vida corta y la rotación automática son justamente lo que limita ese daño sin depender de que alguien se acuerde.