Observar en caliente: un secreto que no es cadena estática también se recupera

Colibrí tiene una clave de firma de peticiones que el análisis estático no encontró entera: la aplicación no la guarda como una cadena fija, sino que la arma en ejecución juntando varios trozos. Parece más seguro, y no lo es. Enganchando la función que la construye para leer lo que devuelve, la clave aparece completa en memoria, lista tal como la aplicación la va a usar. Armar un secreto en ejecución solo retrasa a quien lee el código estático; a quien observa la aplicación corriendo no lo frena.

La lección es la misma que la del secreto embebido: la mitigación no es ofuscar ni fragmentar, es que el secreto no viva en el cliente. Si la firma la necesita el servidor, se firma en el servidor.

Conviene separar los dos usos del enganche. En la sala anterior se forzaba un valor —esAdministrador a verdadero— para probar que un control cedía: eso es cambiar el comportamiento. Aquí se lee lo que una función devuelve sin tocarlo: eso es análisis, no manipulación. La traza de la clave no prueba que un control esté mal puesto; prueba que un dato que se creía escondido es recuperable. Entender la diferencia evita escribir el hallazgo equivocado: «salté un control» y «recuperé un secreto» son cosas distintas, con arreglos distintos.

En Colibrí la observación se anota como lo que es: una lectura en ejecución que demuestra que el secreto del cliente no está protegido por armarse en caliente.

La observación encuentra un segundo caso: Colibrí guarda un archivo de configuración cifrado, pero la clave para descifrarlo está incrustada en la propia aplicación. Al observar la función que descifra, el contenido aparece en claro en memoria. Esto conecta con el almacenamiento local: cifrar un dato en el cliente con una clave que también vive en el cliente solo traslada el problema un paso, porque quien controla el dispositivo tiene las dos piezas. No es inútil del todo —sube un poco el listón—, pero no es lo que cierra el fallo, y venderlo como cifrado de verdad engaña.

En Colibrí se anota que el cifrado con clave incrustada no protege frente a quien tiene el dispositivo; lo que protege de verdad es no guardar el secreto, o guardarlo en el almacén del sistema.

Abre el laboratorio y lee la traza de observación sobre Colibrí. Aísla la traza donde la clave de firma, que no era una cadena fija, apareció completa al leer lo que devolvía la función: junto a esa traza hay un código de la sala. Escríbelo tal cual.