Una puntuación, no un argumento de venta
Las Diez Reglas de Oro de la Gestión de Credenciales
Estas son las reglas sobre las que debe basarse un sistema de credenciales: técnicas, verificables, de aprobación/rechazo. Compare cualquier herramienta con ellas, incluida la nuestra, y cuente cuántas cumple. La mayor parte de la industria cumple menos de la mitad, porque la forma en que los secretos se han almacenado durante veinte años fue diseñada para humanos que debían leerlos y recordarlos. Elimine esa suposición y el listón se eleva. Aquí es donde debería estar.
Diez reglas. Cada una la cumple Clavitor.
Cada regla es un principio universal de buena gestión de credenciales. Debajo de cada una, en términos sencillos, se explica exactamente cómo Clavitor la cumple.
01 — Clave aleatoria
La clave es aleatoria y ningún humano la ve nunca.
Un secreto que una persona puede leer puede ser objeto de phishing, adivinado, reutilizado o coaccionado. La clave debe ser material aleatorio que la máquina genera —nunca se muestra, nunca se introduce, nunca se recupera de nada que un humano sepa.
02 — Sin contraseña maestra
No existe una contraseña maestra. Una clave de hardware es la única clave.
Una contraseña maestra es una puerta, y una puerta puede ser forzada. Una frase de recuperación para el propietario es una frase de recuperación para el atacante. La raíz de confianza debe ser una clave física que debe estar presente.
03 — Operador ciego
El operador no puede descifrar los datos que almacena.
Si la empresa que ejecuta los servidores puede leer sus secretos, también puede hacerlo un empleado deshonesto, una citación judicial o quienquiera que vulnere esa empresa. La confidencialidad debe basarse en las matemáticas, no en el buen comportamiento del operador.
04 — Nada en reposo donde se ejecuta el código
Un secreto existe únicamente durante el instante en que se utiliza, sin permanecer nunca en la máquina que ejecuta el código.
Una credencial en un archivo .env, una variable de entorno, una caché local o la memoria del equipo está a la espera de que cualquier proceso posterior la capture, y está exactamente tan expuesta en un dispositivo cliente como en un servidor. Una copia local cifrada sigue siendo una copia, con su clave en la misma máquina. El código debe obtener el uso de un secreto, nunca su custodia.
05 — Sin enumeración
Un agente no puede enumerar. Solo accede a lo que se le nombró.
Si un actor puede listar, buscar o explorar el almacén, un único compromiso se convierte en un mapa de todo lo que posee. La incapacidad de enumerar es más fuerte que cualquier límite impuesto a la enumeración.
06 — Vinculado a la máquina
Una credencial está vinculada a la máquina a la que se emitió.
Suponga que una credencial será robada eventualmente. Lo que importa es si vale algo fuera de la máquina a la que pertenece. Una clave que funciona desde cualquier lugar funciona desde el portátil del atacante.
07 — Sin vaciado masivo
Ningún actor individual puede vaciar la bóveda.
El uso normal accede a un puñado de secretos. Un robo intenta llevarse todo, rápido. El sistema debe distinguir entre ambos y detener el segundo sin que el propietario tenga que vigilar.
08 — Registrado y atribuido
Cada acción se registra y se atribuye.
Las cuentas compartidas y las lecturas silenciosas destruyen la rendición de cuentas. Cuando algo sale mal, necesita saber exactamente quién o qué lo hizo, y cada credencial que tocó. Un registro con lagunas no es un registro.
09 — Criptografía validada
La criptografía está validada, no inventada.
La criptografía casera es la forma en que los equipos inteligentes pierden. Las primitivas que protegen un secreto deben ser aquellas que los revisores independientes ya han validado, y la compilación debe imposibilitar su envío sin ellas. Lo aburrido y auditado supera a lo ingenioso.
10 — Recuperación con dos partes
Ningún almacén se recupera sin el propietario, ni por el propietario en solitario.
La recuperación es donde la mayoría de los sistemas reabren silenciosamente todas las puertas que cerraron: un restablecimiento por correo electrónico, un código SMS, una pregunta de seguridad, un servicio de soporte al que se puede convencer de una excepción. La vía de regreso a un almacén debe requerir al propietario y algo más que el propietario, de modo que ni un secreto de recuperación robado ni un proveedor comprometido sean suficientes por sí solos.
Ejecute la lista.
Ejecute su herramienta actual por las diez. Luego ejecute la nuestra. Las escribimos porque la mayor parte de la industria falla silenciosamente en varias, y construimos Clavitor para que no falle en ninguna.