La rotación programada de secretos saca a la luz consumidores de credenciales no documentados antes de que lo haga un incidente

Hipótesis

La hoja de referencia (cheat sheet) de OWASP sobre gestión de secretos recomienda la rotación periódica para que las credenciales robadas sirvan solo durante poco tiempo, señala que la rotación manual es propensa a errores y conviene automatizarla, y describe la rotación gradual (una clave nueva para escritura mientras la anterior se sigue aceptando para lectura) y, en su ejemplo con AWS, la secuencia de crear, establecer, probar y finalizar (create, set, test, finish) de una función de rotación automatizada. La hipótesis se refiere a un efecto secundario que la hoja no trata: cada rotación es una prueba del inventario. Un servicio cuya contraseña de base de datos, clave de API o clave de firma se rota según un calendario romperá, en sus primeras rotaciones, consumidores que nadie había registrado: una tarea cron en un host antiguo, un panel de control, una integración de un socio, un script en el directorio personal de alguien. Cada fallo añade una entrada al inventario y un paso al procedimiento. Cuando una fuga obliga a hacer una rotación de emergencia, ese equipo dispone de una lista completa de consumidores y de una secuencia ya ensayada, mientras que un equipo que nunca ha rotado descubre sus consumidores durante el incidente.

Predicción

Para servicios comparables, el número de fallos imprevistos por rotación disminuye a lo largo de las primeras rotaciones programadas y tiende a cero; el tiempo real transcurrido desde "rotar ahora" hasta "credencial antigua revocada y todos los consumidores verificados" es menor en los equipos con historial de rotación que en los que realizan su primera rotación bajo presión; y la proporción de secretos con un responsable y una lista de consumidores documentados es mayor en el primer grupo.

Prueba propuesta

1. Para un conjunto de secretos, registrar antes de la primera rotación los consumidores conocidos, el responsable y una estimación del tiempo de rotación.
2. Rotar según el calendario con una ventana de solapamiento: crear el secreto nuevo, desplegarlo en todos los consumidores conocidos, mantener ambos válidos, vigilar los fallos de autenticación y los registros en busca de consumidores desconocidos y, por último, revocar el antiguo. Anotar cada consumidor encontrado, el tiempo empleado y cada fallo.
3. Repetir en cada ciclo del calendario y representar en una gráfica los fallos y el tiempo por rotación.
4. Realizar un simulacro de rotación sin previo aviso (una fuga simulada) con equipos con y sin historial de rotación, y comparar el tiempo de finalización y los fallos.

Estado

No se afirma ningún resultado. Factores de confusión: los equipos que rotan según un calendario pueden ser más disciplinados en otros aspectos; los sistemas que ya usan credenciales dinámicas de corta duración nunca acumulan consumidores ocultos y no mostrarían ningún efecto; las contraseñas de usuario quedan fuera del alcance, ya que la hoja de referencia las excluye de la rotación periódica.