Azure ARM Misconfiguration: Hardcoded Secret

La plantilla define un valor predeterminado para un parámetro con un tipo seguro.

Los parámetros confidenciales de la plantilla de Azure ARM, como las contraseñas, suelen utilizar los tipos securestring osecureobject.

Para los parámetros que utilizan un tipo seguro, los valores de los parámetros no se registran ni almacenan en el historial de implementación.

Sin embargo, si un valor predeterminado codificado de forma rígida se configura para un tipo seguro, ese valor predeterminado es legible para cualquiera que pueda acceder a la plantilla o al historial de implementación.

Los secretos con codificación rígida pueden poner en riesgo la seguridad de una forma que no es fácil resolver. Una vez que el software está en fase de producción, se requiere una actualización para cambiar el secreto comprometido.

En el caso de un secreto que se utiliza para cifrar datos, se deben administrar los pasos de rotación de claves para descifrar y volver a cifrar todos los datos protegidos por la clave comprometida.

Ejemplo 1: La siguiente plantilla muestra un parámetro con un tipo secreto que tiene un valor predeterminado codificado de forma rígida.

{
    ...
    "parameters": {
        "rootPassword": {
            "defaultValue": "HardcodedPassword",
            "type": "secureString"
        },
        "adminLogin": {
            "type": "string"
        },
        "sqlServerName": {
            "type": "string"
        }
    },
    ...
}