A rotação programada de segredos revela consumidores não documentados de credenciais antes que um incidente o faça

Hipótese

A cheat sheet de Secrets Management da OWASP recomenda a rotação regular, para que credenciais roubadas funcionem apenas por pouco tempo. Ela observa que a rotação manual está sujeita a erros e é melhor automatizada, e descreve a rotação gradual (uma nova chave para escrita, enquanto a antiga ainda é aceita para leitura) e, no exemplo da AWS, a sequência create, set, test, finish de uma função de rotação automatizada. A hipótese trata de um efeito colateral que a cheat sheet não discute: toda rotação é um teste do inventário. Em um serviço cuja senha de banco de dados, chave de API ou chave de assinatura é rotacionada em um cronograma, as primeiras rotações vão quebrar consumidores que ninguém havia listado: um cron job em um host antigo, um dashboard, uma integração de parceiro, um script no diretório home de alguém. Cada quebra acrescenta uma entrada ao inventário e um passo ao procedimento. Quando um vazamento força uma rotação de emergência, uma equipe assim já tem a lista completa de consumidores e uma sequência ensaiada, enquanto uma equipe que nunca rotacionou descobre seus consumidores durante o incidente.

Previsão

Para serviços comparáveis, o número de quebras não planejadas por rotação diminui ao longo das primeiras rotações programadas e se aproxima de zero. O tempo real decorrido entre "rotacionar agora" e "credencial antiga revogada e todos os consumidores verificados" é menor para equipes com histórico de rotação do que para equipes que fazem sua primeira rotação sob pressão. E a proporção de segredos com responsável e lista de consumidores documentados é maior no primeiro grupo.

Teste proposto

1. Para um conjunto de segredos, registrar antes da primeira rotação os consumidores conhecidos, o responsável e uma estimativa do tempo de rotação.
2. Rotacionar em um cronograma, com uma janela de sobreposição: criar o novo segredo, implantá-lo em todos os consumidores conhecidos, manter ambos válidos, observar falhas de autenticação e logs em busca de consumidores desconhecidos e só então revogar o antigo. Registrar cada consumidor encontrado, o tempo gasto e cada quebra.
3. Repetir a cada ciclo do cronograma e traçar o gráfico de quebras e tempo por rotação.
4. Executar um exercício de rotação sem aviso prévio (um vazamento simulado) com equipes que têm e que não têm histórico de rotação, e comparar o tempo de conclusão e as quebras.

Estado

Nenhum resultado é alegado. Fatores de confusão: equipes que rotacionam em cronograma podem ser mais disciplinadas em outros aspectos; sistemas que já usam credenciais dinâmicas de curta duração nunca acumulam consumidores ocultos e não mostrariam efeito; senhas de usuários ficam fora do escopo, pois a cheat sheet as exclui da rotação regular.