Seguridad serverless (Serverless security)
La seguridad serverless cubre la protección de funciones y servicios gestionados en los que el proveedor opera el entorno de ejecución y el cliente solo aporta código y configuración. Parchear el anfitrión deja de ser problema del cliente, y la identidad, la entrada por eventos y las dependencias pasan a serlo todo.
Lo que cambia es la frontera que describe el modelo de responsabilidad compartida. No hay sistema operativo que bastionar, ni agente que instalar, ni proceso de larga duración que inspeccionar, lo que retira a la vez una clase de trabajo y una clase de visibilidad. Lo que queda es el código, sus dependencias, los permisos que lleva asociados y los eventos que lo invocan.
Dos cosas explican la mayoría de los hallazgos. Los permisos que deberían concederse por función se conceden muchas veces por aplicación, así que una función que escribe en una cola sostiene los derechos de todo el despliegue, cuando cada función es una identidad no humana que merece los suyos. Y la entrada llega desde muchos más sitios que una petición HTTP: un mensaje en una cola, la subida de un objeto, un cambio en una base de datos, un evento programado, una notificación de otro servicio. Un código escrito para fiarse de una fuente de eventos interna es un código que no valida nada, y en esas fuentes internas puede escribir muchas veces quien no debería poder.
Hay tres consecuencias que merece la pena enunciar al definir el alcance de un encargo. Los secretos puestos en variables de entorno los puede leer cualquier cosa capaz de invocar o describir la función. La ejecución es corta, así que la persistencia residente en memoria resulta impracticable, pero modificar el paquete de despliegue o una capa compartida es silencioso y duradero. Y sin anfitrión, el rastro de evidencia está por entero en los registros del proveedor, que hay que habilitar antes de un incidente y no después. Examinar eso forma parte del pentesting cloud donde se examinan la identidad propia de cada función y sus disparadores.