🔒 The Bastion

Resumen

Los bastiones son un clúster de máquinas utilizadas como punto de entrada único por los equipos operativos (como administradores de sistemas, desarrolladores, administradores de bases de datos, ...) para conectarse de forma segura a dispositivos (servidores, máquinas virtuales, instancias en la nube, equipos de red, ...), usualmente usando ssh.

The Bastion proporciona mecanismos de autenticación, autorización, trazabilidad y auditabilidad para toda tu infraestructura.

Al estar entre tus usuarios y tu infraestructura, The Bastion agrega una capa de abstracción intermedia para que tu infraestructura no necesite conocer a los miembros de tu equipo operativo individualmente.

Cada miembro de tu equipo tiene una cuenta individual en The Bastion, y puede ser miembro de uno o varios grupos bastión que pueden darle acceso a una o más infraestructuras. Los dispositivos de la infraestructura solo necesitan conocer y confiar en los grupos bastión a los que puedan pertenecer.

El RBAC granular de The Bastion permite delegar algunas responsabilidades a cualquier cuenta, ya sea a nivel de grupo o de todo el bastión, incluyendo cuentas que podrían ser utilizadas por tu automatización para, por ejemplo, gestionar el ciclo de vida de las cuentas (vinculado a tu sistema de gestión de recursos humanos, tu LDAP o AD), asegurar que las ACL de un grupo estén actualizadas (vinculado a tu CMDB), etc. Los procesos automatizados son fáciles de implementar a través de la API JSON sobre SSH.

Recursos de conocimiento

¿Quieres saber más mientras ves algunos dibujos bonitos? Aquí tienes una serie de publicaciones de blog que profundizan en las funcionalidades y principios básicos de The Bastion:

• Parte 1 - Génesis
• Parte 2 - Mareo de delegación
• Parte 3 - Seguridad en el núcleo
• Parte 4 - Una nueva era

Otros recursos que pueden ser de interés:

• Documentación en línea
• (Video en francés, diapositivas en inglés) The Bastion en el Very Tech Trip 2023, caso práctico de gestión de una infraestructura con y sin The Bastion
• (Video en francés, diapositivas en inglés) The Bastion en el OSSIR, 2021, explicando rápidamente los principios básicos, luego detallando la funcionalidad de los reinos, y finalmente enfocándose en por qué las elecciones técnicas de implementación realizadas mejoran la seguridad (¡agregando voluntariamente una vulnerabilidad de seguridad en el código para demostrarlo!)
• (Podcast en francés) The Bastion en NoLimitSecu, 2021, entrevista con preguntas y respuestas

♻️ Sin suposiciones sobre tu entorno

No se necesita nada sofisticado ni en el lado de entrada ni en el de salida de The Bastion para que funcione.

Solo necesitas tu viejo y conocido cliente ssh para conectarte a través de él, y del otro lado, cualquier servidor sshd estándar funcionará. Esto incluye, por ejemplo, dispositivos de red en los que quizás no tengas la posibilidad de instalar ningún software personalizado.

Los dispositivos antiguos que solo admiten algoritmos criptográficos de baja seguridad o telnet pueden ocultarse de Internet mediante firewalls y permitir solo The Bastion, evitando así un compromiso de baja seguridad al permitir solo conexiones de alta seguridad en el lado de entrada del bastión.

➰ Fiabilidad

• Solo se utilizan unas pocas bibliotecas conocidas; menos código de terceros significa una superficie de ataque más reducida
• The Bastion está diseñado para ser autosuficiente: sin dependencias como bases de datos, otros demonios, otras máquinas o servicios en la nube de terceros, ni para la fase de autenticación ni de autorización, lo que estadísticamente significa menos tiempo de inactividad
• Se puede configurar alta disponibilidad para que múltiples instancias del bastión formen un clúster de varias instancias, con cualquier instancia utilizable en todo momento (esquema activo/activo)

:godmode: Lista de características no exhaustiva

• Esquemas de acceso personales y de grupo con delegación de roles de grupo para garantizar la autonomía de los equipos sin comprometer la seguridad
• Ruptura del protocolo SSH entre las conexiones de entrada y salida
• Grabación de sesiones interactivas (en archivos ttyrec estándar)
• Grabación de sesiones no interactivas (stdout y stderr a través de ttyrec)
• Soporte extenso de registro a través de syslog para un consumo fácil por parte del SIEM
• Las funciones de autenticación incluyen soporte para MFA/2FA (contraseña, TOTP) además de la autenticación mediante clave pública
• Soporta verificación y aplicación de atestación de claves PIV de Yubico en el lado de la conexión de entrada
• Soporta mosh en el lado de la conexión de entrada
• Soporta paso a través de scp, sftp y rsync, para cargar y/o descargar archivos desde/hacia servidores remotos
• Soporta paso a través del subsistema SSH netconf
• Soporta reinos, para crear una confianza entre dos bastiones de posiblemente dos empresas diferentes, dividiendo las fases de autenticación y autorización mientras se siguen aplicando políticas locales
• Soporta autoinicio de sesión por contraseña SSH en el lado de salida para dispositivos heredados que no admiten autenticación por clave pública, mientras se fuerza la autenticación adecuada por clave pública en el lado de entrada
• Soporta autoinicio de sesión por contraseña telnet en el lado de salida para dispositivos antiguos que no admiten SSH, mientras se fuerza la autenticación adecuada por clave pública SSH en el lado de entrada
• Soporta proxy HTTPS con manejo de autenticación y autorización man-in-the-middle, para desacoplar contraseñas de entrada y salida (principalmente útil para APIs de dispositivos de red)

🔧 Instalación, actualización y uso de The Bastion

Consulta la documentación en línea, o la versión de texto correspondiente que se encuentra en la carpeta doc/.

🎥 Ejemplo rápido de conexión y reproducción

⚡ TL;DR: pruébalo: entorno aislado desechable usando Docker

Esta es una buena manera de probar The Bastion en cuestión de segundos, pero lee las preguntas frecuentes si hablas en serio sobre el uso de contenedores en producción.

La imagen del entorno aislado está disponible para las siguientes arquitecturas: linux/386, linux/amd64, linux/arm/v6, linux/arm/v7, linux/arm64, linux/ppc64le, linux/s390x.

Ejecutemos la imagen de Docker:

docker run -d -p 22 --name bastiontest ovhcom/the-bastion:sandbox