Uno de los elementos importantes a nivel de seguridad que debes considerar en tu aplicación es dónde almacenar tus secretos (cadenas de conexión a bases de datos, llaves de acceso a servicios, contraseñas...). Incluirlos directamente en tu código o en archivos locales del proyecto es entregarlos directamente a los atacantes. Para resolver este problema, Azure proporciona un servicio llamado Azure Key Vault, con el que podemos administrar los secretos de nuestra aplicación, definiendo políticas de acceso y dando seguimiento a su uso.

2. Protegiendo los
secretos de tus
aplicaciones
con Azure Key
Vault
Luis Beltrán

3. Luis Beltrán
@darkicebeam
luis@luisbeltran.mx

4. • Archivo de 1,74 GB con 1,286,366 registros
• Datos personales de 550, 000 donantes de sangre
• Los datos no se cifraron y se almacenaron en un sitio web no seguro
• Encontrado mediante el escaneo de direcciones públicas en busca de
archivos .sql
Fuente: https://www.troyhunt.com/the-red-cross-blood-service-australias-largest-ever-
leak-of-personal-data
Cruz Roja Australia
Sony Entertainment en 2011
• Se cayó PlayStation Network
• Datos no encriptados de tarjetas de crédito de los
usuarios
Sony Pictures en 2014
• Datos personales de empleados y familias
• Correos electrónicos confidenciales e información salarial
• Algunas películas (The Interview, Annie)
Source: https://en.wikipedia.org/wiki/2011_PlayStation_Network_outage ;
https://en.wikipedia.org/wiki/Sony_Pictures_hack
Sony Entertainment y
Sony Pictures
• Tenía un CryptoLocker (ransomware) instalado
• 350GB de datos personales
• Pagó $400 para volver a acceder a sus datos
Mi “amigo” Juan
• 340GB de datos
• 228,605 direcciones de correo electrónico
• 1,3 millones de números de pasaporte y fechas de caducidad
• 15,8 millones de registros de huellas dactilares
• Los datos estaban encriptados: la llave estaba en el código PHP de su
sitio web
Fuente:
https://en.wikipedia.org/wiki/Commission_on_Elections_data_breach
Comisiones Electorales de la República de
Filipinas
La seguridad
es importante

5. Los desarrolladores construyen una aplicación
de negocio
App
Implementa la app
¡…Y LAS LLAVES Y SECRETOS!
Desarrolladores

6. Los clientes utilizan la nube de Microsoft de
diversas maneras
Microsoft Cloud
SaaS
Office 365
Azure SQL
PaaS
Azure Storage
Azure
HDInsight
IaaS
SQL Server
Apache
Un problema común prevalence:
“¿Cómo administro mis llaves y secretos?”
Desarrolladores IT Pros

7. Contenido a asegurar
Llaves simétricas
Llaves asimétricas
Llaves
Certificados digitales
Llaves digitales
Certificados
Cadenas de conexión
Credenciales
Otros secretos
Secretos
Llave pública Llave privada

8. Solicitudes frecuentes:
“Quiero encriptar mis datos y además…
• Necesito mantener claves de cifrado en HSMs (FIPS140-2 Nivel 2+)”
• Necesito controlar el ciclo de vida de mis claves de encriptación.”
• Quiero controlar las claves de mis aplicaciones conectadas a la
nube en un solo lugar.”
• Necesito almacenar las claves de encriptación en un servidor on-
premises / de mi país / en HSMs dedicados.”

9. Hardware Security Module (HSM)
Un módulo de seguridad de hardware (HSM) es un dispositivo informático físico que protege
y administra las claves digitales para una autenticación sólida y proporciona
criptoprocesamiento.
Estos módulos vienen tradicionalmente en forma de una tarjeta plug-in o un dispositivo
externo que se conecta directamente a una computadora o servidor de red.

10. Administración de secretos en Azure
“Mi aplicación en Azure tiene contraseñas y llaves criptográficas,
así que…
• Necesito un lugar seguro donde almacenarlas en Azure”.
• Necesito (re)utilizar usuarios y grupos de Active Directory para
administrar el acceso a los secretos.”
• No quiero aparecer en las noticias por un error de seguridad”

11. Azure Key Vault
• Un servicio alojado en la nube de Azure en sistemas
dedicados y HSM
• Potencia la mayoría de los servicios de cifrado
proporcionados por Azure
• Disponible para que los desarrolladores lo utilicen
en sus propias aplicaciones

12. Características
Servicio hospedado en la nube, respaldado por HSM para administrar claves criptográficas
utilizando estándares certificados FIPS 140-2 Nivel 2
Encripta claves y secretos
Importa o genera tus claves
Simplifica y automatiza tareas para certificados SSL / TLS
Todas las claves permanecen en el límite de HSM
No puedes recuperar la clave privada
Key Vault se implementa en minutos
Viene en dos opciones: Standard y Premium
Con Premium Key Vaults, todos los secretos y claves se almacenan en un
HSM
0.03 USD / 10.000 operaciones
Renovación de certificación: 3 USD por solicitud de renovación
Claves protegidas HSM: 1 USD por clave por mes

13. Conceptos
Secret
§ Cualquier secuencia de bytes (máx. 25KB): Cadena de conexión SQL, archivo PFX, llave de encriptación AES).
§ Usuarios/apps autorizadas pueden escribir y leer de vuelta el valor secreto.
Key
§ Una llave de encriptación RSA 2048.
§ Una llave no puede ser recuperada de vuelta. El solicitante debe pedir al servicio desencriptar / firmarse con
la llave.
Key Vault
§ Contenedor lógico para llaves y secretos relacionados que son administrados juntos.
§ Unidad de control de acceso / unidad de facturación.
§ Un recurso de Azure, por ejemplo una cuenta de almacenamiento.
Azure subscription, Resource groups, Azure AD Identities

14. Tipos de almacenamiento en Key Vault
• Keys
• Clave compatible con RSA
• Puede codificar / decodificar datos
• Puede firmar / verificar datos
digitalmente
• Oculta material clave de cualquier
usuario – las llaves son generadas y
almacenadas en Key Vault
• Admite el acceso por ventanas de
tiempo
• Secrets
• Cualquier cadena de hasta 25KB
• Los desarrolladores pueden especificar un
Content Type para ayudar a identificar los
esquemas de datos en la recuperación de
información
• Admite el acceso por ventanas de tiempo

15. Creación de una bóveda
az keyvault create --resource-group <resource-group> --name <your-unique-vault-name>
New-AzKeyVault -Name <your-unique-vault-name> -ResourceGroupName <resource-group>
PowerShell
Azure CLI

16. Creación de llaves y secretos, autenticación
$key = Add-AzureKeyVaultKey -VaultName 'contoso' -Name 'MyFirstKey' -Destination 'HSM'
PowerShell
string keyVaultName = Environment.GetEnvironmentVariable("KEY_VAULT_NAME");
var kvUri = "https://" + keyVaultName + ".vault.azure.net";
var client = new SecretClient(new Uri(kvUri), new DefaultAzureCredential());
Autenticación de la bóveda y creación de un cliente en C#
Creación de un secreto en C#
client.SetSecret(secretName, secretValue);
var secret = client.GetSecret(secretName);
Recuperación de un secreto en C#
Borrado de un secreto en C#
client.StartDeleteSecret(secretName);

17. ¿Cómo Azure Key Vault atiende las necesidades
de seguridad?
• Las llaves y secretos son encriptados 1
• Elección del país de implementación 2
• Elección del método de cifrado
(Software vs Hardware & BYOK) 3
• Separación del modulo de seguridad 4
• Fácil acceso y control de los permisos 5
• Bajo costo 6

18. ¿Cómo Azure Key Vault atiende las necesidades
de seguridad?
• Bajo costo
• Fácil acceso y control de los permisos
• Separación del modulo de seguridad
• Las llaves y secretos son encriptados
• Elección del país de implementación
• Elección del método de cifrado
(Software vs Hardware & BYOK)
1
2
3
4
5
6
Toda información en la KeyVault es encriptada
Precio: 0.03$ / 10.000 transacciones
Administración mediante PowerShell /
Azure AD / RBAC
Crea tantas Key Vaults como requieras
Elige en qué centro de datos y en qué grupo
de recursos deseas implementar KeyVault
Edición Standard vs Premium
BYOK

19. Roles de administración en Key Vault

20. Flujo en Azure Key Vault
Azure
Admin / Key
Vault Owner
Azure
Active Directory
1. Create service principal
Key Vault
2. Create Key Vault
Configure access for
service principal
Key / Secret
Owner
3. create Key / Secret
Application
or Azure
Resource
5. Configure Application / Azure
resource with the service
principal and Key / Secret URI
6. Authenticate against AAD
7. receive token from AAD
8.Send token to Key Vault
9. Access Key Vault and retrieve
Key / Secret
4. communicate service principal
and Key / Secret URI Application
Owner

21. Fase 1 – El desarrollador construye la app
App
1. Crea Key Vault
2. Autoriza app, usuarios
3. Crea/importa llaves y secretos
4. Implementa la app,
configurada con una URI de la
llave/secreto
5. Usa la llave/secreto
Desarrollador

22. Fase 2 – La app se mueve a beta
App
5. Usa la llave/secreto
1. Crea Key Vault
2. Autoriza app, usuarios
3. Crea/importa llaves y secretos
4. Implementa la app,
configurada con una URI de la
llave/secreto
DesarrolladorDirector de
Seguridad

23. Fase 3 – La app se mueve a producción
App
5. Usa la llave/secreto
1. Crea Key Vault
2. Autoriza app, usuarios
3. Crea/importa llaves y secretos
6. Administra llaves/secretos
7. Monitorea logs 4. Implementa la app,
configurada con una URI de la
llave/secreto
DesarrolladorDirector de
Seguridad
Auditor

24. Fase 4 – Escala, implementa más apps en minutos
5. Usa la llave/secreto
1. Crea Key Vault
2. Autoriza app, usuarios
3. Crea/importa llaves y secretos
6. Administra llaves/secretos
7. Monitorea logs 4. Implementa la app,
configurada con una URI de la
llave/secreto
App 3
DesarrolladorDirector de
Seguridad
App 2
App 1
Auditor

25. Demo

41. Recursos
• Azure Key Vault
https://azure.microsoft.com/es-mx/services/key-vault/
• Documentación
http://aka.ms/kvdocs
• Blog
http://aka.ms/kvblog
• Mobile apps + Azure Key Vault … don’t do it!
https://codemilltech.com/mobile-apps-azure-keyvault-dont-do-it/

42. Q & A

43. ¡Gracias por tu atención!
luis@luisbeltran.mx
luisbeltran.mx
@darkicebeam
Luis Beltrán
Tomás Bata University in Zlín
Tecnológico Nacional de México en Celaya
github.com/icebeam7
linkedin.com/in/luisantoniobeltran
slideshare.net/icebeam
youtube.com/user/darkicebeam