El almacenamiento que nadie sabía que era público

Un almacenamiento de objetos es público cuando alguien sin credenciales, solo con la dirección, puede leer lo que contiene. En AWS eso puede venir de varias capas: el bloqueo de acceso público de la cuenta desactivado, una política del recurso que concede lectura al principal *, o una lista de control de acceso heredada. En Azure aparece como un contenedor con nivel de acceso público de tipo blob o container, que permite lectura anónima. El dato importante es que "público" no es un estado exótico: es una casilla, y basta con que una de esas capas la deje abierta para que los datos salgan.

Reconocer que el acceso público es una configuración —no un ataque— es lo que permite cazarlo revisando interruptores, no buscando intrusos.

El almacenamiento de recibos de Cobalto guarda documentos con nombre, dirección y últimos dígitos de tarjeta de cada compra. Su configuración muestra el bloqueo de acceso público de la cuenta desactivado y una política que concede lectura al principal *. Cualquiera que averigüe o adivine la dirección de un recibo lo descarga sin identificarse, y quien enumere el almacenamiento se los lleva todos. Es exfiltración de datos directamente desde el almacenamiento en la nube, sin necesidad de entrar en ningún sistema: los datos ya están al alcance de la mano. Que "nadie tenga la URL" no es una defensa; las direcciones se filtran, se registran en historiales y se prueban a ciegas.

Un almacenamiento de datos personales con lectura anónima es una fuga en curso, aunque todavía nadie haya pedido el archivo.

Cerrar el almacenamiento de Cobalto no es una sola acción, sino asegurarse de que ninguna capa deja pasar. En AWS, reactivar el bloqueo de acceso público de la cuenta corta el acceso anónimo aunque la política del recurso siga concediéndolo — es el interruptor que gana por encima de las demás capas —, y además se retira el * de la política. En Azure, el contenedor se pone en nivel de acceso privado, de modo que sin credenciales no se lee nada. El criterio es dejar el acceso en privado por defecto y conceder solo lo que de verdad tiene que ser público (una web estática, no unos recibos).

Cerrar el acceso público se comprueba interruptor por interruptor, porque basta con que una capa quede abierta para que los datos sigan saliendo.

Arreglar este almacenamiento no impide que mañana alguien cree otro público. Por eso la corrección de fondo es una barrera a nivel de organización: activar el bloqueo de acceso público en toda la cuenta, o una directiva que impida crear almacenamientos con acceso anónimo, de modo que el interruptor no dependa de que cada persona se acuerde. Lo que sí tiene que ser público se declara como excepción documentada y revisada. Así el estado por defecto es privado, y abrir algo pasa a ser una decisión explícita en vez de un descuido silencioso.

Convertir "privado" en el estado por defecto de toda la cuenta es lo que hace que el próximo almacenamiento no repita el fallo.

Abre el laboratorio de almacenamientos de Cobalto. Compara los dos de AWS: uno está privado y otro deja entrar a cualquiera. Quédate con el expuesto —el de los recibos de clientes— y lee el informe de la revisión, que cierra con el código del hallazgo.