OpenBuckets for Web Apps

He estado husmeando en los puntos finales de la nube pública durante un tiempo, principalmente por curiosidad y trabajos ocasionales de prueba. Sigo encontrándome con casos en los que las empresas simplemente dejaron sus contenedores S3 abiertos de par en par, como si alguien se hubiera olvidado de cerrar la puerta. Ahí es donde entra OpenBuckets. No es llamativo, pero funciona. Conecta un dominio o un destino y escanea en AWS, GCP y Azure en busca de almacenamiento de acceso público. Sin iniciar sesión, sin configuración, simplemente ingrese su consulta y espere.

las cosas buenas

La verdadera ventaja es la rapidez con la que encuentra las cosas. Lo probé en una empresa aleatoria de la que nunca había oído hablar y en 90 segundos marcó tres depósitos abiertos con archivos confidenciales. Uno tenía una base de datos de clientes completa en texto plano, sin cifrado ni control de acceso. La función de escaneo secreto captó más de 150 tipos de datos confidenciales, incluidas claves API y contraseñas. Eso no es algo que se obtiene con herramientas básicas como awscli o scripts de búsqueda de depósitos. ¿Y las opciones de filtrado? Súper útil. Puede limitar los resultados por tipo de archivo, tamaño o incluso palabras clave. Me ahorró horas de revisar la basura.

Lo no tan bueno

Definitivamente es un nicho. Si no está realizando una investigación de seguridad ni formando un equipo rojo, esto no le servirá de mucho. Además, no hay número de versión ni recuento de descargas, lo que lo hace sentir un poco fuera de la red. Me sentiría más cómodo si hubiera una licencia clara o información del desarrollador. Y sí, la interfaz de usuario básica. No feo, sólo... funcional. Como un terminal que se disfrazó. Ah, y no hay escritorio solo compatible con dispositivos móviles. Pero, sinceramente, está bien, ya que la mayoría de las personas que utilizan esto probablemente utilicen ordenadores portátiles de todos modos.

En pocas palabras

Si le gusta la seguridad en la nube, especialmente la búsqueda de datos expuestos, vale la pena probar OpenBuckets para aplicaciones web. Es gratis, se ejecuta en su navegador y hace lo que dice sin problemas. No está tan pulido como algunas herramientas pagas como Neuproscan, pero por el precio cero es sólido. Se lo recomendaría a cualquiera que quiera comprobar rápidamente si hay depósitos públicos, especialmente durante auditorías o recompensas de errores. Simplemente no esperes campanas y silbidos. Es el tipo de herramienta que hace su trabajo silenciosamente y te salva de una infracción desagradable más adelante.