Cómo entra la identidad — segundo factor y claves

Una identidad en la nube se juzga por dos cosas distintas. La autorización es qué puede hacer —los permisos, que viste en la sala anterior—. La autenticación es cómo demuestra que es ella al entrar: una contraseña, un segundo factor, o una clave de acceso que firma cada petición. El perímetro se cae por cualquiera de las dos: de nada sirve recortar permisos al mínimo si la credencial que los usa se protege solo con una contraseña que se puede adivinar o robar. El segundo factor es lo que convierte una contraseña filtrada en algo que, por sí solo, no basta para entrar.

Permisos justos y una autenticación débil es una caja fuerte con llave buena y la puerta solo entornada.

La cuenta de administración de la nube de Cobalto —la que puede tocarlo todo— se usa a diario y está protegida solo con una contraseña, sin segundo factor. Es la peor combinación: la identidad con más poder de la cuenta, expuesta a que una sola contraseña filtrada entregue el control total. La práctica sana es doble. Primero, esa cuenta lleva segundo factor obligatorio, de modo que la contraseña sola no basta. Segundo, no se usa para el trabajo diario: se reserva para lo que de verdad la exige, y el día a día se hace con cuentas de permisos acotados. Una credencial que no se usa casi nunca es también una credencial que casi nunca está expuesta.

La cuenta más poderosa es la que menos debería usarse y la que más protección de entrada necesita.

La aplicación de Cobalto se autentica con una clave de acceso de larga vida creada hace más de cuatrocientos días y nunca rotada. Una clave así es un secreto permanente: si se cuela en un repositorio, en un registro o en una copia, sirve para entrar hasta que alguien se acuerde de revocarla, y nadie se acuerda. La alternativa es no tener una clave permanente: que la aplicación obtenga credenciales temporales a través de su rol, que caducan solas en minutos u horas. Para las claves que de verdad hacen falta, se rotan con regularidad para que una filtración vieja deje de valer. Credencial permanente y sin rotar es una fuga esperando el día que alguien encuentre dónde quedó copiada.

Una credencial temporal que caduca sola vale mucho menos robada que una clave permanente que nadie rota.

La corrección de la postura de autenticación de Cobalto tiene dos mitades. En la cuenta de administración y en las cuentas humanas, activar el segundo factor obligatorio y dejar de usar la de administración para el día a día. En la aplicación, sustituir la clave de larga vida por credenciales temporales a través de su rol, y rotar las claves que queden imprescindibles. Ninguna de las dos es "para cuando haya tiempo": son lo que hace que una contraseña o una clave filtrada —que pasa— no se convierta en una entrada directa. Y se comprueba mirando qué cuentas tienen segundo factor y qué antigüedad tienen las claves, no confiando en que están bien.

Segundo factor en quien entra y credenciales que caducan es lo que hace que una filtración no sea, por sí sola, una puerta abierta.

Abre el laboratorio de autenticación de Cobalto. Revisa el estado del segundo factor de las cuentas y la antigüedad de las claves de acceso, quédate con la cuenta de administración sin segundo factor y la clave de larga vida sin rotar, y lee el informe de la revisión, que cierra con el código de la sala.