Quem consegue entrar na sua conta da AWS pode apagar todas as suas máquinas, levar os seus dados ou, o mais habitual, criar dezenas de máquinas potentes para minerar criptomoedas e deixar-lhe a fatura. Acontece todos os dias, e quase sempre pelo mesmo motivo: uma palavra-passe comprometida sem duplo fator, ou uma chave de acesso enviada por engano para um repositório público.
Proteger-se leva vinte minutos e não custa nada. São quatro medidas, e a primeira é a que importa de verdade: se só fizer uma, que seja essa.
Antes de começar: o que significa cada coisa
- Conta raiz (root)
- O utilizador com que a conta da AWS foi criada, o que entra com o endereço de e-mail. Pode tudo, incluindo fechar a conta, e não pode ser limitado. Por isso há que guardá-lo a sete chaves e não o usar no dia a dia.
- Duplo fator (MFA)
- Um segundo passo ao entrar, além da palavra-passe: um código que muda a cada 30 segundos numa aplicação do telemóvel, ou uma chave física. Se lhe roubarem a palavra-passe, sem o telemóvel não entram.
- Aplicação de autenticação
- Uma aplicação gratuita do telemóvel que gera esses códigos (Google Authenticator, Microsoft Authenticator, Authy e outras). Serve qualquer uma.
- IAM
- O serviço da AWS onde se criam utilizadores e se lhes dão permissões.
- Utilizador IAM
- Uma identidade dentro da sua conta, com o seu próprio nome e palavra-passe, à qual pode limitar o que faz. É com ele que devia entrar todos os dias, em vez de com a conta raiz.
- Chave de acesso
- O "utilizador e palavra-passe" que os programas usam para falar com a AWS. A conta raiz não devia ter nenhuma.
- Contactos alternativos
- Endereços e telefones de faturação, operações e segurança para os quais a AWS avisa se acontecer alguma coisa. Se estiverem desatualizados, os avisos não chegam a ninguém.
Passo a passo
Ative o duplo fator na conta raiz
Entre na AWS com o e-mail da conta (a conta raiz). Em cima à direita, menu do seu nome, Security credentials. No bloco Multi-factor authentication (MFA), clique em Assign MFA device. Escolha Authenticator app, abra a aplicação no seu telemóvel, leia o código QR e escreva dois códigos seguidos. Pronto: a partir de agora, entrar com a conta raiz pedirá o código do telemóvel.
Pode atribuir mais do que um dispositivo. Acrescente um segundo (o telemóvel de outro responsável, ou uma chave física guardada numa gaveta) para o caso de perder o primeiro: recuperar uma conta raiz sem duplo fator é um processo lento junto da AWS.
Retire as chaves de acesso da conta raiz
No mesmo ecrã de Security credentials, bloco Access keys. Se houver alguma, desative-a e, quando verificar que nada deixa de funcionar, apague-a. Uma chave da conta raiz é uma chave-mestra que não caduca; nada devia usá-la. Os programas que precisem de acesso usam utilizadores ou funções com permissões limitadas (há guias para ambos nesta secção).
Crie um utilizador administrador para o dia a dia
Abra o IAM, Users, Create user. Nome: o seu nome ou
admin-nombre. Marque Provide user access to the AWS Management Console e escolha uma palavra-passe. Nas permissões, Attach policies directly e marque AdministratorAccess: poderá fazer quase tudo, mas não fechar a conta nem alterar os dados de pagamento, que ficam para a conta raiz. Crie o utilizador e anote o endereço de início de sessão que lhe mostra (contém o número da sua conta).Se forem vários, um utilizador por pessoa. Nunca partilhem um: quando alguma coisa se partir vai querer saber quem foi.
Ponha duplo fator também nesse utilizador
Entre com o utilizador novo, menu do seu nome, Security credentials, e atribua um dispositivo MFA tal como no passo 1. Torne-o obrigatório para todos os utilizadores que criar. A partir de agora, entre sempre com este utilizador e guarde a palavra-passe da conta raiz num gestor de palavras-passe, para a usar só quando a AWS a exigir (alterar dados de pagamento, fechar a conta, alguma operação rara).
Atualize os contactos e ponha um alerta de gasto
Com a conta raiz, menu do seu nome, Account: reveja o e-mail principal e preencha os Alternate contacts (faturação, operações, segurança) com endereços que alguém leia. São os que a AWS usa para o avisar de uma chave comprometida ou de uma utilização anómala. E crie um orçamento com aviso por e-mail (há um guia nesta secção): se alguém entrar e começar a criar máquinas, o aviso de previsão de gasto será provavelmente o primeiro sinal.
Reveja de vez em quando
Uma vez por trimestre, no IAM, separador Users: toda esta gente continua a trabalhar aqui? Têm todos MFA? Há chaves de acesso que não são usadas há meses (coluna "Last used")? Apague o que sobra. O IAM tem ainda um relatório de credenciais descarregável que resume tudo isto numa tabela.
O que pode correr mal
Perdi o telemóvel com o duplo fator da conta raiz
Se registou um segundo dispositivo, use-o e dê baixa do perdido. Se não, a AWS tem um processo de recuperação que verifica o e-mail e o telefone da conta; é lento e por isso insistimos em ter dois dispositivos.
Um programa deixou de funcionar ao retirar a chave da conta raiz
Esse programa estava a usar a chave-mestra. Crie para ele um utilizador IAM só com as permissões de que precisa (guia nesta secção) e dê-lhe a sua própria chave. É exatamente o problema que queria descobrir.
Pede-me o duplo fator de cada vez e é uma chatice
É o preço, e é pequeno comparado com uma conta roubada. As aplicações de autenticação demoram três segundos. Se incomodar mesmo, uma chave física USB é ainda mais rápida.
Recebi um e-mail da AWS a dizer que a minha chave está num repositório público
É real e é urgente: há programas que procuram chaves na internet e as usam em minutos. Entre, desative essa chave de imediato, verifique no EC2 de todas as regiões se apareceram máquinas que não são suas, e responda ao caso de suporte que a AWS terá aberto.
No Simplio
O Simplio segue estas mesmas regras por si: cada utilizador entra com a sua palavra-passe e o seu duplo fator obrigatório (sem códigos de recuperação por e-mail que possam ser roubados), e as ações delicadas voltam a pedi-lo. As chaves da AWS que regista são guardadas encriptadas e nunca voltam a ser mostradas, ou simplesmente não existem se ligar por função. E o registo de atividade diz quem fez o quê, quando e a partir de onde.
O mesmo, na AWS e no Simplio
| Na consola da AWS | No Simplio | |
|---|---|---|
| Duplo fator para toda a equipa | Configurar o MFA utilizador a utilizador no IAM e vigiar que o façam | Obrigatório para todos os utilizadores do Simplio, sem códigos de recuperação por e-mail |
| Limitar o que cada pessoa faz | Políticas IAM escritas à mão | Permissões por ação e por máquina com caixas |
| Saber quem fez o quê | CloudTrail | Registo de atividade em linguagem normal |