Un file Terraform esposto apre la strada tra più cloud
Un file di Terraform state leggibile non è solo metadato esposto: può diventare il punto in cui passa la fiducia dell’automazione, con credenziali riutilizzabili per entrare in altri ambienti. Il problema non è dove finisce il segreto una volta scritto; è chi può leggere quel file e quanto lontano può arrivare con l’identità che contiene.
In un assessment di Pentest Partners, un bucket Amazon S3 troppo permissivo ha esposto un Terraform state file da cui sono state estratte credenziali di un Automated GitHub application. Quelle credenziali hanno aperto Microsoft Azure e poi l’accesso amministrativo in un altro account AWS, mostrando che un singolo leak IaC può attraversare i confini tra provider.
Per chi usa Terraform con stato in storage condiviso, il punto è trattare state e token di automazione come segreti a pieno titolo: se sono leggibili, la compromissione può seguire le relazioni di fiducia già autorizzate dall’automazione.