Secretos guardados en la propia máquina

Cada instancia puede llevar un script de arranque —los datos de usuario— que se ejecuta cuando la máquina se enciende para dejarla configurada. Es cómodo meter ahí una clave de acceso "para que la aplicación la tenga al arrancar", y es un error por dos motivos. Primero, ese script no es secreto: suele poder leerse consultando la propia instancia, incluso a través del servicio de metadatos, así que una clave ahí está casi publicada dentro de la máquina. Segundo, queda guardado tal cual, de modo que cualquiera que acceda a la configuración de la instancia se la lleva. Una credencial en el script de arranque es una credencial esperando a ser leída.

El script de arranque se puede consultar; una clave escrita ahí no está guardada, está expuesta dentro de la máquina.

El secreto que Cobalto dejó en el arranque es, además, una clave de acceso de larga vida: no caduca sola. Eso la hace peor que una credencial temporal en el mismo sitio, porque si la máquina se compromete, la clave sigue valiendo fuera de ella indefinidamente, hasta que alguien la revoque. La alternativa es no tener ninguna clave en la máquina: la instancia ya tiene un rol asignado que le entrega credenciales temporales por el servicio de metadatos, que caducan solas y se revocan quitando el rol. Si la aplicación puede autenticarse con el rol de la instancia, meterle una clave de larga vida a mano solo añade un secreto robable sin ganar nada.

Una clave de larga vida en la máquina vale fuera de ella para siempre; el rol de la instancia da credenciales que caducan y se revocan.

En la misma instancia de Cobalto hay, además, un fichero de credenciales en el disco con otra clave de larga vida. Es la misma familia de problema que el script de arranque: un secreto en reposo dentro de la máquina, que viaja con cualquier copia del disco, con cualquier respaldo y con cualquier acceso de lectura al sistema de archivos. No importa que el fichero esté "en una ruta que nadie conoce": las rutas de los ficheros de credenciales son estándar y se buscan las primeras. Mientras haya una clave escrita en el disco de la máquina, hay un secreto que se filtra con la máquina.

Un secreto en el disco se va con cada copia y con cada acceso de lectura; la ruta "discreta" no es una defensa.

La corrección tiene dos partes. Quitar los secretos de donde están —borrar la clave del script de arranque y el fichero del disco— y, como las dos claves ya estuvieron expuestas, rotarlas, porque una clave que anduvo en texto plano se da por filtrada. Y cambiar el modo de autenticar: si la aplicación puede usar el rol de la instancia, que lo use y no guarde ninguna clave; y los secretos que de verdad no se pueden evitar van en un almacén de secretos gestionado, del que la aplicación los lee en tiempo de ejecución con su rol, nunca escritos en el arranque ni en el disco. Así la máquina deja de llevar encima nada que valga la pena robar.

Sacar el secreto de la máquina, rotar lo que estuvo expuesto y leer de un almacén con el rol es lo que hace que comprometer la instancia no entregue una clave.

Abre el laboratorio de secretos de la instancia de Cobalto. Lee el script de arranque y el disco de la máquina, localiza las claves de larga vida guardadas a mano y después el informe de la revisión, que cierra con el código de la sala.