Compartir sin abrir — enlaces temporales

Cuando hay que dejar que alguien de fuera descargue un objeto de un almacén privado, no hace falta hacer público el almacén. Se genera un enlace temporal: una dirección firmada con una credencial que concede acceso justo a ese objeto, con los permisos que decidas y durante el plazo que decidas. Pasado el plazo, el enlace deja de valer solo. En AWS son las direcciones prefirmadas; en Azure, las firmas de acceso compartido. Bien usadas, son la respuesta correcta a "necesito compartir esto" — la que no deja el almacén abierto para siempre a cambio de un favor puntual.

Un enlace temporal convierte "abrir el almacén a todos" en "dar acceso a un archivo, a quien toca y por un rato".

El enlace que Cobalto generó para compartir un recibo tiene dos problemas que lo vuelven peligroso. Dura tres años, cuando una descarga puntual se resuelve en minutos; y concede permisos de lectura, escritura y listado sobre todo el almacén, no sobre el recibo. Un enlace así, si se filtra —y los enlaces se reenvían, se pegan en un chat, quedan en un historial—, es acceso casi total y casi permanente al almacén, sin pasar por ninguna credencial ni por ningún registro de quién es. Es el mismo resultado que haber abierto el almacén, solo que escondido en una dirección larga que parecía inofensiva.

Un enlace de plazo largo y permisos amplios es público disfrazado: basta con que alguien tenga la dirección.

El enlace sano es lo contrario del de Cobalto en las tres medidas. El plazo, lo más corto que la tarea permita: minutos u horas, no años. El permiso, el mínimo: si es para descargar, solo lectura, nunca escritura ni listado. Y el alcance, un solo objeto —el recibo concreto—, no el almacén entero. Con esas tres acotaciones, aunque el enlace se filtre, lo que entrega es poco y por poco tiempo. El mismo criterio de mínimo privilegio que se aplica a un rol se aplica a un enlace temporal: el acceso justo, sobre lo justo, durante lo justo.

Plazo corto, solo lectura y un solo objeto es lo que hace que un enlace filtrado no sirva de gran cosa.

El enlace de tres años de Cobalto no se "ajusta": se revoca y se reemplaza. Un enlace ya emitido con permisos amplios y plazo largo hay que invalidarlo —rotando la credencial que lo firma, si el proveedor no permite revocarlo de otro modo— porque mientras siga vivo es acceso regalado. En su lugar, cuando de verdad haga falta compartir, se emite uno nuevo con plazo corto, solo lectura y un objeto. Y, como control de fondo, se evita que las credenciales que firman enlaces puedan emitirlos con plazos largos o permisos amplios, para que el descuido no se pueda repetir con un clic.

Revocar el enlace amplio y emitir en su lugar uno acotado es cerrar la puerta trasera sin perder la forma legítima de compartir.

Abre el laboratorio de enlaces de Cobalto. Compara los dos enlaces temporales: uno es de plazo corto, solo lectura y un objeto; el otro dura años y permite escribir y listar todo el almacén. Quédate con el amplio y lee el informe de la revisión, que cierra con el código de la sala.