Solo se utilizan API destinadas a fines de depuración.

De forma predeterminada, los flujos de tareas en una aplicación Fusion no son directamente accesibles desde una solicitud GET: cada vez que una URL intenta invocar el flujo de tareas, recibe un código de estado HTTP 403. Sin embargo, confiar en una configuración implícita siempre carece de claridad y puede conducir a comportamientos no deseados si la configuración predeterminada cambia de forma inesperada.

Ejemplo 1: El siguiente fragmento de un archivo de definición de flujo de tarea muestra un ejemplo de flujo de tarea configurado con el ajuste implícito predeterminado url-invoke-disallowed.

...
    <task-flow-definition id="password">
        <default-activity>PasswordPrompt</default-activity>
        <view id="PasswordPrompt">
            <page>/PasswordPrompt.jsff</page>
        </view>
        <use-page-fragments/>
    </task-flow-definition>
...

El almacenamiento de claves de cifrado en campos de clase estáticos permite que estas se puedan obtener con facilidad por parte de entidades con acceso a la memoria de procesamiento (por ejemplo, un dispositivo con acceso root) o a los volcados de memoria de procesamiento (por ejemplo, los volcados de memoria).

Un procedimiento habitual de desarrollo consiste en añadir un código de "puerta trasera" diseñado específicamente para fines de depuración o pruebas que no se vaya a enviar o implementar con la aplicación. Cuando este tipo de código de depuración se deja accidentalmente en la aplicación, este se abre en modos de interacción no previstos. Estos puntos de entrada de "puerta trasera" conllevan riesgos de seguridad porque no se tienen en cuenta durante las fases de diseño y pruebas, y no se incluyen en las condiciones de funcionamiento previstas de la aplicación.

De forma predeterminada, los volúmenes de EBS no están cifrados.
Ejemplo 1: La siguiente plantilla de ejemplo expone los datos a posible robo y acceso no autorizados.

	Resources:
  	  EBSVOLExample:
    	Type: AWS::EC2::Volume
    	Properties:
      	  Encrypted: false
	

De forma predeterminada, las instancias de RDS de Amazon no están cifradas. Esto expone los datos a posible robo y acceso no autorizados.

De forma predeterminada, los clústeres de Amazon Redshift no están cifrados. Esto expone los datos al acceso no autorizado y posible robo.

Se crea un contenedor de Amazon S3 sin cifrado del lado del servidor. El cifrado mitiga las vulneraciones de datos al hacer que los datos sean ilegibles para cualquier persona sin las credenciales adecuadas. El cifrado en reposo puede ayudar a satisfacer algunos requisitos de cumplimiento industriales y gubernamentales, como RGPD, HIPAA y PCI.

Los métodos de AWS API Gateway que son de acceso público pueden exponer a la organización a ataques.

Ejemplo 1: La siguiente plantilla de ejemplo define los métodos de AWS API Gateway de acceso público.

{
    "AWSTemplateFormatVersion": "2010-09-09",
    "Resources": {
        "MyMethod0": {
            "Type": "AWS::ApiGateway::Method",
            "Properties": {
                "RestApiId": "MyAPIID",
                "ResourceId": "MyResourceID",
                "HttpMethod": "GET",
                "AuthorizationType": "NONE"
            }
        },
        "MyMethod1": {
            "Type": "AWS::ApiGateway::Method",
            "Properties": {
                "RestApiId": "MyAPIID",
                "ResourceId": "MyResourceID",
                "HttpMethod": "POST",
                "AuthorizationType": "NONE",
                "ApiKeyRequired": false
            }
        }
    }
}

Una configuración comodín para los principales lambda infringe el principio de privilegios mínimos y permite que un atacante invoque el lambda desde cualquier cuenta.

Ejemplo 1: La siguiente plantilla de ejemplo define un principal lambda comodín.

{
    "Resources": {
        "LambdaPerm": {
            "Type": "AWS::Lambda::Permission",
            "Properties": {
            "SourceAccount": "AWS::AccountId",
            "SourceArn": "bucket.Arn",
            "FunctionName": "function.Arn",
            "Action": "lambda:InvokeFunction",
            "Principal": "*"
            }
        }
    },
    "AWSTemplateFormatVersion": "2010-09-09",
    "Description": "Lambda Permission"
}

De forma predeterminada, las instancias de Amazon DocumentDB no están cifradas. Esto expone los datos al acceso no autorizado y posible robo.

Ejemplo 1: El siguiente ejemplo muestra una plantilla que define una Amazon DocumentDB con el cifrado deshabilitado.

"Resources": {
    "DocDBDefault": {
        "Type": "AWS::DocDB::DBCluster",
        "Properties": {
            "MasterUsername": "name",
            "MasterUserPassword": "password"
        }
    }

De forma predeterminada, los volúmenes de EBS no están cifrados.
Ejemplo 1: La siguiente plantilla de ejemplo expone los datos a posible robo y acceso no autorizados.

"Resources": {
    "EBSVOLExample": {
        "Type": "AWS::EC2::Volume",
        "Properties": {
            "Encrypted": false,
        }
    }
}

De forma predeterminada, los grupos de replicación de Amazon ElastiCache no están cifrados. Esto expone los datos al acceso no autorizado y posible robo.

Ejemplo 1: La siguiente plantilla de ejemplo define un grupo de replicación de Amazon ElastiCache con el cifrado deshabilitado.

{
    "Description": "ElastiCache redis",
    "Resources": {
        "MyReplicationGroup": {
            "Type": "AWS::ElastiCache::ReplicationGroup",
            "Properties": {
                "AutomaticFailoverEnabled": true,
                "CacheNodeType": {
                    "Ref": "CacheNodeType"
                },
                Cache  "ParameterGroupName": {
                    "Ref": "CacheParameterGroup"
                },
                "CacheSubnetGroupName": {
                    "Ref": "CacheSubnetGroupName"
                },
                "Engine": "redis",
                "EngineVersion": {
                    "Ref": "EngineVersion"
                },
                "NumNodeGroups": {
                    "Ref": "NumShards"
                },
                "ReplicasPerNodeGroup": {
                    "Ref": "NumReplicas"
                },
                "PreferredMaintenanceWindow": "sat:10:00-sat:08:00",
                "SecurityGroupIds": [
                    {
                        "Ref": "SecurityGroup"
                    }
                ],
                "SnapshotRetentionLimit": {
                    "Ref": "SnapshotRetentionLimit"
                },
                "SnapshotWindow": "00:00-03:00"
            },
            "UpdatePolicy": {
                "UseOnlineResharding": true
            }
        }
    }
}

De forma predeterminada, los clústeres de Neptune DB no están cifrados. Esto expone los datos a posibles robos y accesos no autorizados por parte de atacantes.

Ejemplo 1: La siguiente plantilla de ejemplo no habilita el cifrado en reposo.

{
    "AWSTemplateFormatVersion": "2010-09-09",
    "Description": "My Neptune DB cluster",
    "Resources": {
        "NeptuneDBCluster": {
            "Type": "AWS::Neptune::DBCluster",
            "Properties": {
                "BackupRetentionPeriod": 10,
                "DBClusterIdentifier": "MyDBClusterIdentifier",
                "DBClusterParameterGroupName": "MyNeptuneDBClusterParameterGroup",
                "DBSubnetGroupName": "MyNeptuneDBSubnetGroup",
                "IamAuthEnabled": true,
                "Port": 8080,
                "PreferredBackupWindow": "NeptuneDBClusterPreferredBackupWindow",
                "PreferredMaintenanceWindow": "NeptuneDBClusterPreferredMaintenanceWindow"
            }
        }
    }
}

De forma predeterminada, las instancias de RDS de Amazon no están cifradas. Esto expone los datos a posible robo y acceso no autorizados.

"Resources": {
    "RDSDBExample": {
        "Type": "AWS::RDS::DBInstance",
        "Properties": {
            "StorageEncrypted": false,
            "DBName": "Test DB",
            "DBInstanceClass": "db.m4.large"
        }
    }
}

De forma predeterminada, los clústeres de Amazon Redshift no están cifrados. Esto expone los datos al acceso no autorizado y posible robo.

Ejemplo 1: La siguiente plantilla define un clúster de Redshift sin cifrado habilitado.

"Resources": {
    "RedshiftClusterTest": {
        "Type": "AWS::Redshift::Cluster",
        "Properties": {
            "DBName": "mydb",
            "MasterUsername": "master",
            "MasterUserPassword": "masterPass",
            "NodeType": "ds2.xlarge",
            "ClusterType": "single-node",
        }
    }

Se crea un contenedor de Amazon S3 sin cifrado del lado del servidor. El cifrado mitiga las vulneraciones de datos al hacer que los datos sean ilegibles para cualquier persona sin las credenciales adecuadas. Como tal, el cifrado en reposo es una medida para cumplir con algunos requisitos de cumplimiento industriales y gubernamentales, como RGPD, HIPAA y PCI.

De forma predeterminada, los temas de SNS no están cifrados en reposo. Esto potencialmente expone los datos a espectadores no autorizados.

Ejemplo 1: La siguiente plantilla de ejemplo no puede cifrar el tema de SNS al no definir un identificador de clave de AWS KMS.

{
    "AWSTemplateFormatVersion": "2010-09-09",
    "Description": "My SNS topic",
    "Resources": {
        "MySNSTopic": {
            "Type": "AWS::SNS::Topic",
            "Properties": {
                "Subscription": [
                    {
                        "Endpoint": "MySNSEndpoint",
                        "Protocol": "sqs"
                    }
                ],
                "TopicName": "MyTopic"
            }
        }
    }
}

La autenticación basada en Touch ID puede implementarse con los servicios de llaves mediante el almacenamiento de un elemento en las llaves y la configuración de un control de accesos que requiera que el usuario utilice su huella digital para recuperar el elemento más tarde. Las siguientes directivas pueden usarse para definir cómo se autenticará al usuario con su huella digital:

- kSecAccessControlUserPresence: restricción de acceso con Touch ID o un código de acceso. No es necesario que Touch ID esté disponible o registrado. Touch ID puede tener acceso al elemento aunque se agreguen o eliminen huellas digitales.
- kSecAccessControlTouchIDAny: restricción de acceso con Touch ID para las huellas digitales registradas. No se invalida el elemento si se agregan o eliminan huellas digitales.
- kSecAccessControlTouchIDCurrentSet: restricción de acceso con Touch ID para las huellas digitales registradas actualmente. Se invalida el elemento si se agregan o eliminan huellas digitales.

Cuando usa Touch ID, debe utilizar el atributo kSecAccessControlTouchIDCurrentSet para impedir que se agreguen o eliminen huellas digitales en el futuro.

Ejemplo 1: el siguiente código usa la restricción kSecAccessControlTouchIDAny que permite que el elemento de las llaves se desbloquee con cualquier huella digital que se registre en el futuro:

    ...
    SecAccessControlRef sacRef = SecAccessControlCreateWithFlags(kCFAllocatorDefault,
                 kSecAttrAccessibleWhenPasscodeSetThisDeviceOnly,
                 kSecAccessControlTouchIDCurrentSet, 
                 nil);
    NSMutableDictionary *dict = [NSMutableDictionary dictionary];
    [dict setObject:(__bridge id)kSecClassGenericPassword forKey:(__bridge id) kSecClass];
    [dict setObject:account forKey:(__bridge id)kSecAttrAccount];
    [dict setObject:service forKey:(__bridge id) kSecAttrService];
    [dict setObject:token forKey:(__bridge id)kSecValueData];
    ...
    [dict setObject:sacRef forKey:(__bridge id)kSecAttrAccessControl];
    [dict setObject:@"Please authenticate using the Touch ID sensor." forKey:(__bridge id)kSecUseOperationPrompt];

    dispatch_async(dispatch_get_global_queue(DISPATCH_QUEUE_PRIORITY_DEFAULT, 0), ^{
        OSStatus status = SecItemAdd((__bridge CFDictionaryRef)dict, nil);
    });
    ...

Es muy común generar valores de variables para depurar o realizar pruebas con el código que no se pretende enviar ni permanecer activo en la aplicación implementada. Cuando este tipo de código de depuración se deja accidentalmente en la aplicación, esta puede proporcionar información a un usuario malintencionado de forma no deseada. No todas las instrucciones de depuración pierden información confidencial o privada. Sin embargo, la presencia de una instrucción de depuración suele indicar que el código que lo rodea ha quedado desatendido y puede estar en un estado de deterioro.

El ejemplo de código de depuración olvidado en ColdFusion más común es la etiqueta <cfdump>. Aunque el uso de <cfdump> es aceptable durante el desarrollo del producto, los desarrolladores responsables del código que forma parte de una aplicación web de producción deben considerar cuidadosamente si se debe permitir el uso de la etiqueta <cfdump>.