La identidad es el nuevo perímetro

La lección anterior trazó una línea entre lo que protege un proveedor de nube y lo que debe proteger el cliente. Del lado del cliente, un elemento hace más trabajo que cualquier otro: la identidad — quién puede iniciar sesión, y qué puede hacer después. Una red de oficina tradicional tenía un muro y una puerta cerrada con llave; una cuenta en la nube tiene un formulario de inicio de sesión, alcanzable desde cualquier parte del planeta, a cualquier hora. Proteger ese inicio de sesión es la mayor parte de lo que “seguridad en la nube” significa en la práctica.

Cómo se toman realmente las cuentas

El robo de una cuenta casi nunca implica que un atacante rompa los sistemas de un proveedor de nube. Normalmente sigue el patrón de robo de credenciales del curso de modelado de amenazas de esta universidad: una contraseña reutilizada de un servicio ajeno que sufrió una filtración, o una página de phishing convincente que simplemente pide el inicio de sesión directamente. Una vez que un atacante tiene credenciales válidas, la mayoría de los servicios en la nube no tienen forma de distinguirlas del dueño real de la cuenta — precisamente por eso el control único que la CISA destaca por encima de todos los demás es la autenticación de varios factores (MFA).

MFA, y por qué no todas las formas son iguales

La CISA afirma con claridad que “los usuarios que activan la MFA tienen muchas menos probabilidades de que los hackeen”, porque una contraseña robada por sí sola deja de ser suficiente. Pero la CISA también clasifica las formas disponibles de MFA según qué tan bien resisten el phishing, y esa clasificación importa: “la única autenticación resistente al phishing ampliamente disponible es la autenticación FIDO/WebAuthn” — el estándar detrás de las passkeys y las llaves de seguridad físicas, tratado en el curso de criptografía. Un código por mensaje de texto es, en palabras de la CISA, todavía mucho mejor que no tener ningún segundo factor, pero puede ser interceptado o redirigido por un atacante suficientemente motivado; las notificaciones push desde apps con verificación de números quedan en un punto intermedio. Para una cuenta en la nube que tenga algo sensible, activar la opción de MFA más fuerte que ofrezca esa cuenta es el paso de mayor valor de esta lección.

OAuth: los permisos que le das a otras apps

Cada vez que das clic en “continuar con Google” o conectas una herramienta de agenda a tu calendario, estás usando OAuth, descrito por la documentación del propio estándar como “el protocolo estándar de la industria para la autorización”. Su propiedad útil es que la app de terceros nunca ve tu contraseña — inicias sesión directamente con tu proveedor, y luego apruebas un conjunto específico y limitado de permisos, llamados alcances (scopes), para esa app. Su riesgo es precisamente esa concesión de permisos: una app de agenda que solo necesita leer los horarios libres/ocupados de tu calendario puede pedir, y se le concede de forma habitual, permiso para leer y enviar correo a tu nombre. Cada app conectada es una concesión de acceso permanente que persiste hasta que alguien la revoca, y por eso la última lección de este curso trata sobre revisar esa lista, no solo configurarla bien una vez.

Claves filtradas: la prima menos visible de OAuth

Las herramientas automatizadas y las integraciones suelen autenticarse con una clave de API en lugar de un inicio de sesión humano — una cadena larga que funciona como una contraseña pero que no la escribe una persona y que muchas veces no está protegida por MFA en absoluto. Estas claves terminan expuestas con más frecuencia de lo que la mayoría espera: pegadas en un ticket de soporte, subidas por accidente a un repositorio de código, dejadas en un archivo de configuración compartido más ampliamente de lo previsto. Tratar una clave de API con la misma precaución que una contraseña — nunca compartirla en texto plano, rotarla si pudo haber quedado expuesta, y limitar lo que puede hacer — cierra un hueco que la MFA, pensada para inicios de sesión humanos, no cubre.