Blue Team / Arsenal Defensivo
10 Identidad · IAM & Cripto
Gestión de identidad y criptografía
La identidad es el nuevo perímetro: la mayoría de las brechas empiezan por una credencial. IAM (quién puede qué) y criptografía (proteger datos y comunicaciones) son defensa pura. Aquí las herramientas y los comandos que usarás a diario.
🔑IAM: controlar quién accede a qué
| Keycloak | SSO/IAM open-source: login único, OAuth2/OIDC, SAML, MFA. El más usado. |
| FreeIPA | identidad centralizada en Linux (como un AD de Linux): usuarios, hosts, políticas, Kerberos. |
| OpenIAM | gestión de identidades y accesos de empresa (provisioning, gobierno). |
| Microsoft Entra ID (Azure AD) | el IAM cloud que más verás en empresas Microsoft. |
| Principios | mínimo privilegio, MFA en todo, revisar accesos, segregación de funciones. |
🔐Cripto del día a día
| GnuPG (GPG) | cifrar/firmar ficheros y correo; gestionar claves. Confidencialidad e integridad. |
| OpenSSL | la navaja TLS: certificados, probar cifrados, inspeccionar conexiones. |
| Hashing | sha256/argon2/bcrypt para contraseñas (NUNCA cifrado reversible para passwords). |
| TLS/mTLS | cifra el transporte; mTLS autentica a ambos extremos. |
| Gestión de secretos | Vault/sops: fuera contraseñas en texto plano y en el código. |
🔧Lab (en tu Kali): GPG + OpenSSL
1
gpg --full-generate-key
crea tu par de claves (confidencialidad + firma).
2
gpg -e -r destinatario fichero ; gpg -d fichero.gpg
cifra para alguien y descifra: solo su clave privada lo abre.
3
openssl s_client -connect host:443 | openssl x509 -noout -dates -issuer
inspecciona el certificado TLS de un servidor (caducidad, emisor).
4
openssl req -x509 -newkey rsa:4096 -keyout k.pem -out c.pem -days 365 -nodes
genera un certificado autofirmado para tus labs.
5
sha256sum fichero
verifica integridad: mismo hash = mismo fichero.
⚠Fallos típicos y solución
'Ciframos' las contraseñas
mal: las contraseñas se HASHEAN con sal (argon2/bcrypt). Cifrar implica que alguien con la clave las ve.
Certificados caducados / autofirmados en prod
monitoriza caducidad (alertas) y usa una CA real (Let's Encrypt). Un cert caducado tira el servicio.
Claves privadas en el repo
nunca en git: usa Vault/sops y escanea el repo (gitleaks). Una clave filtrada = acceso total.
MFA solo para admins
MFA en TODAS las cuentas: el phishing va a por cualquiera, no solo admins.
💡Trucos
- La identidad es el perímetro: MFA + mínimo privilegio paran más ataques que cualquier firewall.
- Rota credenciales tras cualquier sospecha y revisa accesos cada trimestre.
- Cifra EN REPOSO y EN TRÁNSITO; y gestiona los secretos fuera del código.
- gitleaks/trufflehog en CI para cazar secretos antes de que se filtren.
🎯🎯 Lab puntuable: rompe el JWT y forja un admin
Lab pesado descargable (Docker Compose): un servicio firma JWT (HS256) con un secreto débil: rómpelo con hashcat/jwt_tool y forja un token role=admin para cobrar la flag. 1 reto, 60 puntos. (Necesitas Docker + Docker Compose.)
⬇ Descargar el pack ▶ Ir al reto · categoría “Arsenal · IAM”
⚑ Recuerda enviar la flag. Cuando saques la FLAG, envíala en su reto para que cuente en tu progreso y en el marcador. Si no la envías, no puntúa.
Ir a los retos🔎 No memorices comandos. Ten el Arsenal abierto en otra pestaña y busca ahí el comando exacto cuando lo necesites. Entiende el POR QUÉ aquí; el COMANDO lo copias del Arsenal.
Abrir Arsenal