El pipeline de compilación móvil y los secretos que maneja

La clave con la que se firma una app es el secreto más valioso de su distribución: quien la tenga firma como el editor. Si está en el repositorio, la tiene todo el que clona el código, incluidos contratistas y cuentas comprometidas. Si el pipeline la recibe de un gestor de secretos o de un servicio de firma, el pipeline pide una firma y no ve la clave, y cada petición queda en un registro de auditoría.

Algunas tiendas ofrecen además guardar la clave de firma de distribución en su propio servicio y dejar al editor una clave de subida que, si se pierde o se compromete, se puede reponer; eso reduce el daño de una fuga en el pipeline.

Abre la estación y lee el archivo del pipeline. Las notas de la revisión tienen un código por hallazgo. El grave es el que permite firmar como el editor sin tocar el servidor de nadie.

Los registros de compilación los leen más personas que el repositorio: soporte, desarrollo, a veces proveedores. Una línea de depuración que imprima una variable de entorno basta para dejar un secreto a la vista, y los registros se guardan durante semanas. Un buscador de texto sobre los tres registros localiza la fuga sin abrir cada uno.

En la lista de dependencias, una sola viene de un repositorio externo y sin huella fijada. Cuando un pipeline busca un paquete en un repositorio interno y en uno externo a la vez, alguien puede publicar fuera un paquete con el mismo nombre que uno interno y una versión mayor, y el pipeline lo elegirá. A eso se le llama confusión de dependencias. Se evita fijando cada dependencia por versión y huella, dando prioridad al repositorio interno y pasando lo externo por un espejo propio que se revisa.

Una vez que un secreto estuvo en el repositorio, queda en su historial y en cada copia clonada. Quitarlo del archivo y hacer una confirmación nueva no lo saca de ahí. La medida que cierra el hallazgo es considerar la clave comprometida: sustituirla por otra, sacarla del repositorio y del pipeline, y repasar qué se firmó con ella. Si la clave es de firma, la rotación debe estar prevista para que los usuarios actuales puedan actualizar, como se vio en la primera sala.