Refuerza tu seguridad en la nube: cómo gestionar claves de cuenta de servicio en Google Cloud

A partir del 16 de junio de 2024, Google Cloud implementará cambios en las políticas de organización con el objetivo de reforzar la seguridad y la protección de los usuarios en línea. Estas modificaciones se suman a los esfuerzos continuos de Google por ofrecer un entorno digital más confiable y resiliente.

¿Qué novedades hay?

Ahora, los administradores de la organización tendrán el poder de decidir cómo responderá Google Cloud en caso de que una clave de cuenta de servicio privada se exponga públicamente.

¿Cómo se va a conseguir?

Con sus integraciones estrella, como el programa de análisis de GitHub, que permiten identificar cualquier exposición de claves de cuenta de servicio privadas.

¿Qué implica todo esto para ti?

Es fundamental recordar que las claves de cuentas de servicio deben mantenerse privadas en todo momento. Cuando estas claves se exponen, se podrían producir brechas de seguridad que afectarían la integridad de la infraestructura de Google Cloud.

Los agentes malintencionados podrían usar esas claves para acceder, modificar o incluso eliminar datos, además de consumir recursos valiosos. Los ingenieros de Google se preocupan profundamente por tu seguridad y la de tu organización, y es por eso que están tomando medidas proactivas para salvaguardar tu entorno.

Estas nuevas políticas de organización entrarán en acción a partir del 16 de junio del 2024. Para fortalecer la seguridad de tu entorno, todas las claves de cuenta de servicio que hayan sido expuestas públicamente y de las que se tenga conocimiento serán deshabilitadas de forma proactiva. Esto afectará cualquier uso de estas claves expuestas.

¿Qué puedes hacer tú al respecto?

Estas son las opciones disponibles y deberás tomar la decisión que mejor se ajuste a sus necesidades:

• Aceptar el cambio de inmediato: para hacerlo, asigna la restricción IAM.serviceAccountKeyExposureResponse al valor DISABLE_KEY. Esta medida de protección se activará de inmediato.
  
  
• Optar por esperar: asigna la restricción IAM.serviceAccountKeyExposureResponse al valor WAIT_FOR_ABUSE si prefieres no habilitar el cambio en este momento. Esta medida de protección permanecerá inactiva hasta que decidas activarla.
  
  
• Relajarte y dejar que Google lo maneje: si decides no hacer nada, no te preocupes. Google activará la medida de protección por ti el 16 de junio del 2024.

Sabemos que cualquier cambio puede requerir un poco de planificación, pero estas medidas se han diseñado para mejorar la seguridad de sus entornos, que sigue siendo una de las principales prioridades en Google Cloud.

Imagen de rawpixel.com en Freepik

Jose Maria Acuña Morgado - Web Developer - Ethical Hacking

Leer más

Estrategias para crear contraseñas irrompibles en la web y proteger tu identidad online

La seguridad de nuestras contraseñas y la protección de nuestra información personal son pilares fundamentales para salvaguardar nuestra privacidad. En un mundo donde la conexión en línea es la norma y los datos personales son un activo valioso, la creación de contraseñas seguras se ha convertido en una tarea esencial para cualquier usuario consciente de su seguridad en la web.


Desde la elección de combinaciones complejas de caracteres hasta la implementación de medidas avanzadas de autenticación, el arte de proteger nuestras cuentas y datos ha evolucionado con la misma rapidez que las amenazas cibernéticas.

Este artículo ofrecerá estrategias innovadoras y consejos prácticos para crear contraseñas que desafíen incluso a los más astutos ciberdelincuentes.

✓ Longitud mínima y complejidad

La longitud y complejidad de una contraseña son elementos cruciales para su seguridad. Contraseñas cortas son vulnerables a ataques de fuerza bruta, donde un atacante prueba todas las combinaciones posibles de caracteres para encontrar la correcta.

• Para establecer una contraseña segura se recomiendan al menos 12 caracteres. Cuantos más caracteres, mejor.
• Combina letras tanto en minúsculas como en mayúsculas, números y caracteres especiales (@,!,#,$,% ...) para incrementar la complejidad y fortalecerla contra posibles ataques.
• Ejemplo de contraseña débil: abc123.
• Ejemplo de contraseña segura: P@ssw0rd!3#6$4/9.8.

✓ No uses datos personales

Las contraseñas no deben contener información personal fácilmente accesible o relacionada contigo, como nombres, fechas de nacimiento, o datos familiares.

• Los ciberdelincuentes pueden obtener esta información de redes sociales, registros públicos o datos filtrados en brechas de seguridad.
• Evita palabras obvias y secuencias numéricas predecibles.
• Ejemplo de contraseña insegura: Maria1985!.

✓ Frase memorable o acertijos

Otra técnica efectiva es crear una frase memorable y modificarla con números y caracteres especiales.

• Las frases largas pueden ser más fáciles de recordar para ti, pero difíciles de adivinar para un agente malintencionado.
• Modifica la frase con reemplazos de letras por números, símbolos o combinaciones alfanuméricas.
• Ejemplo de frase: "La música es vida y alegría".
• Ejemplo de contraseña segura:
  L@Mus1c4EsV!d@&Al3gr1@.

✓ Contraseñas únicas

Reutilizar contraseñas es peligroso, ya que si una contraseña es comprometida en un sitio, un atacante podría acceder a otras cuentas.

• Utiliza una contraseña única para cada cuenta o servicio en línea.
• Considera el uso de un administrador de contraseñas para generar y almacenar contraseñas de forma segura.
• Ejemplo: usar "P@ssw0rd!23" para todas las cuentas aumenta el riesgo de que todas ellas sean comprometidas si una sola lo está.

Gestores de contraseñas populares:

Gratuitos:

1. Bitwarden: open-source, sin límite de dispositivos, sincronización en la nube.
2. KeePass: open-source, mayor control sobre la seguridad, requiere configuración manual.
3. NordPass: bóveda segura para archivos, VPN integrada (versión premium).

De pago:

1. 1Password: interfaz intuitiva, integración multiplataforma, almacenamiento de documentos.
2. LastPass: amplia compatibilidad con navegadores, compartir contraseñas de forma segura.
3. Dashlane: monitorización de la web oscura, autocompletar formularios, VPN integrada.

Image by rawpixel.com on Freepik

✓ Cambio regurlar

Cambiar las contraseñas con regularidad reduce el tiempo durante el cual una contraseña comprometida puede ser explotada.

• La frecuencia de cambio depende del nivel de sensibilidad de la cuenta y la información que protege.
• Cambia tu contraseña después de eventos importantes como pérdida de dispositivos, sospechas de compromiso o brechas de seguridad.
• Por ejemplo, cambia las contraseñas cada 3 meses, o después de eventos como la divulgación pública de una base de datos.

✓ Autenticación de dos factores (2FA)

2FA añade una capa adicional de protección al requerir un segundo método de verificación además de la contraseña.

• A menudo utiliza algo que el usuario sabe (contraseña) y algo que el usuario posee (teléfono, aplicación de autenticación, llave física).
• El código de 2FA es temporal y único, lo que hace que el acceso sea más seguro.
• Por ejemplo, puedes utilizar una aplicación de autenticación como Google Authenticator o recibir un código por mensaje de texto.

✓ Verificación de vulnerabilidades

Utiliza servicios como Have I Been Pwned para verificar si tus contraseñas han sido comprometidas en brechas de datos.

• Estas herramientas comprueban si tus contraseñas han sido filtradas en bases de datos de contraseñas comprometidas.
• Pueden ayudarte a saber si necesitas cambiar una contraseña comprometida. Por ejemplo, introducir una dirección de email en el sitio web para ver si ha sido incluida en bases de datos de contraseñas comprometidas.

✓ Concienciación sobre Phishing

Capacitar a los usuarios para reconocer correos electrónicos y sitios web de phishing que intentan robar información de inicio de sesión.

• Phishing es una de las tácticas más comunes y exitosas de los ciberdelincuentes.
• Los correos electrónicos de phishing a menudo parecen provenir de fuentes legítimas y solicitan información confidencial.

✓ Actualización constante

Mantén tu sistema operativo, navegadores y aplicaciones actualizados para evitar vulnerabilidades conocidas.

• Frecuentemente, los ciberdelincuentes aprovechan las debilidades en el software que no ha sido actualizado.
• Utiliza herramientas de seguridad como firewalls y antivirus.
• Instala parches de seguridad, actualiza firmware de routers, y utiliza redes privadas virtuales (VPN) en redes públicas.

Al seguir estas recomendaciones, los usuarios pueden fortalecer la seguridad de sus contraseñas y proteger sus cuentas y datos personales en línea. Cada medida, desde la elección de contraseñas sólidas hasta la implementación de 2FA y la vigilancia activa, contribuye a una postura de seguridad más robusta en el mundo digital de hoy en día. Recuerda que la seguridad en línea es un esfuerzo continuo que requiere atención y acción constante.

Jose Maria Acuña Morgado - Web Developer - Ethical Hacking

Leer más