Acciones críticas: por qué algunas operaciones vuelven a pedir tus dos dispositivos
Has iniciado sesión. Tienes un rol de administrador. Pulsas «quitar miembro» y SSP te pide que firmes con tus dos dispositivos, exactamente como si estuvieras iniciando sesión desde cero.
Esto no es fricción por gusto. Es una línea trazada a propósito entre las operaciones que un token de sesión debería poder autorizar y las que no, y el razonamiento detrás de esa línea merece entenderse, uses SSP o no.
Las sesiones son para la comodidad, no para las consecuencias
Un token de sesión es una credencial al portador. Quien lo tenga eres tú, en lo que al servidor respecta. Eso es precisamente lo que hace cómodas a las sesiones —te autenticas una vez y luego actúas con libertad— y precisamente lo que las convierte en mala base para decisiones irreversibles.
Las sesiones se roban. Por un fallo de cross-site scripting, un portátil desbloqueado, malware, una copia de seguridad filtrada, o sencillamente un navegador abierto en una oficina compartida. La guía de gestión de sesiones de OWASP trata el robo de sesión como una condición esperable y no como un caso extremo, y cualquier diseño que suponga lo contrario es optimista.
Para la mayoría de las acciones esto es un riesgo aceptable, porque la mayoría de las acciones son reversibles. Renombrar una bóveda, añadir un observador, ajustar una preferencia de notificación: si un atacante con una sesión robada hace eso, lo deshaces.
Algunas acciones no son así. Transferir la propiedad de una organización entrega el control a otra persona. Quitar a un miembro le corta el acceso. Eliminar una organización es definitivo. Para estas, SSP exige prueba de que quien actúa sigue teniendo ambos dispositivos ahora mismo, no de que los tenía en algún momento anterior del día.
Las trece acciones
Trece operaciones exigen volver a firmar. Se agrupan en cuatro bloques.
Control de la organización
- Transferir la propiedad
- Eliminar la organización
Pertenencia y roles
- Quitar a un miembro
- Promover a un miembro a administrador
- Degradar a un administrador
Identidad de la cuenta
- Cambiar el correo empresarial
- Quitar el correo empresarial
Ciclo de vida y administración de bóvedas
- Archivar una bóveda y desarchivarla
- Congelar una bóveda y descongelarla
- Promover a un administrador de bóveda y degradarlo
Lo que las une no es que muevan dinero —ninguna lo hace, y ninguna puede, porque solo los firmantes pueden mover fondos—. Lo que las une es que cambian quién puede hacer cosas después. Son las operaciones que un atacante querría para atrincherar su acceso, dejar fuera a los verdaderos propietarios o preparar en silencio un robo posterior.
Es de notar que las acciones relacionadas con el correo están en la lista. Cambiar el correo empresarial de una cuenta parece administrativo, pero es el movimiento clásico de apertura en un secuestro de cuenta: redirigir el canal de recuperación y luego trabajar con calma. Exigir ambos dispositivos para ello cierra esa vía.
Por qué el desafío lo escribe el servidor
El mecanismo importa tanto como el requisito, y una decisión de diseño hace casi todo el trabajo.
El servidor genera el mensaje que firmas. El cliente nunca.
Si el cliente compusiera su propio desafío, un cliente comprometido podría componer uno conveniente: un mensaje que describa una acción inofensiva, firmado por un usuario que creía estar haciendo algo inofensivo, y luego reproducido contra un endpoint peligroso. Que el servidor redacte el mensaje significa que lo que firmas es lo que se ejecutará, porque el servidor comprueba la firma contra el mensaje que él emitió y ningún otro.
Es el mismo patrón que SSP usa para el inicio de sesión, y el mismo patrón que hace segura en general la autenticación basada en firmas: nunca firmes algo que no hayas recibido de la parte que lo va a verificar.
A qué queda ligado el desafío
El mensaje no es un «sí» genérico. Es una cadena concreta que contiene cuatro cosas que, juntas, dejan inútil en cualquier otro sitio una firma capturada.
La acción exacta. remove_member y transfer_ownership producen mensajes distintos. Una firma para una no puede autorizar la otra.
El objetivo exacto. La organización, la bóveda cuando corresponde y la persona sobre la que se actúa están nombradas en el mensaje. Las acciones con alcance de bóveda incluyen explícitamente el identificador de la bóveda, de modo que una firma para congelar una bóveda no puede reproducirse para congelar otra distinta.
Una marca de tiempo. Ocupa los primeros trece caracteres del mensaje —una posición fija, porque SSP Wallet valida ese formato antes de mostrar nada—. Los desafíos caducan a los quince minutos.
Un nonce aleatorio. Doce bytes de aleatoriedad criptográfica, que hacen único cada desafío incluso para una acción idéntica sobre un objetivo idéntico en el mismo segundo.
Y el desafío es de un solo uso. Cuando se canjea, el servidor lo marca como usado en la misma operación atómica que lo valida, así que una firma reproducida se rechaza con «ya usado» en lugar de tener éxito dos veces en silencio. Los desafíos caducados se limpian automáticamente mediante un índice TTL.
Cada intento queda registrado, incluidos los fallidos
Las acciones críticas se escriben en un registro permanente, y hay aquí un detalle fácil de pasar por alto: la entrada del registro se escribe cuando se solicita el desafío, no solo cuando la acción se completa.
Eso significa que el registro incluye intentos abandonados, intentos donde la firma falló e intentos que fueron rechazados. Una acción crítica fallida suele ser alguien que cambió de opinión. Un racimo de ellas a las 3 de la madrugada es una historia.
Como el resto del rastro de auditoría de SSP, estos registros no tienen caducidad ni tarea de limpieza. El valor de un registro de auditoría vive enteramente en las partes que nadie anticipó necesitar.
Cómo se ve esto en la práctica
Ten ambos dispositivos contigo antes de empezar. Las acciones críticas no pueden completarse con un solo dispositivo, y el desafío caduca en quince minutos. Si tu teléfono está en otra habitación, ve a por él primero.
Lee la acción en el teléfono, no solo en el panel. El mensaje que muestran tus dispositivos nombra la acción y el objetivo. Esa es tu oportunidad de notar que el objetivo no es quien esperabas, el mismo hábito que te protege al revisar una transacción. Ataques de phishing dirigidos a usuarios de cripto explica por qué esa segunda mirada al segundo dispositivo compensa los segundos que cuesta.
No las agrupes. Cada acción crítica recibe su propio desafío y su propia firma. Si estás quitando a tres empleados que se van, son tres firmas. Es deliberado: agrupar significaría una firma autorizando varios cambios, que es exactamente la propiedad que intentamos evitar.
Espéralas en los peores momentos. Las acciones críticas se concentran justo en los momentos en que alguien se va, una cuenta está comprometida o hay que congelar una bóveda; es decir, los momentos en que la gente está estresada y quiere ir rápido. Saber de antemano que estas necesitan ambos dispositivos convierte una sorpresa en un paso.
El panorama más amplio de qué impone qué —y por qué la refirma se sitúa en la capa intermedia y no en la más fuerte— está en qué detiene realmente una transacción. Para saber cómo encajan la organización y sus bóvedas, empieza por SSP Enterprise: bóvedas multisig para equipos.
