Chaque appel d'API AWS nécessite un credential, l'obtenir est donc le premier geste et en récolter davantage est la façon dont une mission s'élargit. Les credentials se présentent sous forme de clés d'accès à longue durée de vie, de jetons de session STS temporaires (une clé d'accès, un secret, un jeton de session et une expiration), et de credentials de rôle livrés par le service de métadonnées d'instance. Chacun a des caractéristiques de vol et de réutilisation différentes, et plusieurs services AWS renvoient de nouveaux credentials lorsqu'ils sont lus.
Ce qui s'y rattache#
- Clés d'accès : paires
AKIAà long terme dans les fichiers, les variables d'environnement, la config CI et l'historique du code source. - Métadonnées d'instance : credentials de rôle depuis IMDS sur EC2 et ECS, y compris le flux de jeton IMDSv2 et la récupération par SSRF.
- Jetons STS : capturer et rejouer des jetons de session à courte durée de vie.
- Magasins de secrets : Secrets Manager, SSM Parameter Store et KMS comme sources de credentials.
- Courtiers de credentials : services qui émettent des credentials pour d'autres principaux.
Les pages IMDS sont le versant AWS de la technique web de server-side request forgery, référencée en renvoi plutôt que dupliquée.