Magasins de secrets

Les magasins de secrets AWS existent pour fournir des identifiants aux applications, ce qui en fait une source directe pour un attaquant détenant le droit de lecture. Un principal capable d'appeler secretsmanager:GetSecretValue ou ssm:GetParameter avec déchiffrement lit les mots de passe de bases de données, les clés d'API et d'autres identifiants directement dans le compte.

Ce qui est regroupé ici#

• Secrets Manager : GetSecretValue sur les secrets stockés.
• Parameter Store : GetParameter/GetParameters sur les valeurs SecureString et en clair.
• KMS : Decrypt et stratégies de clés trop permissives sur des données chiffrées par enveloppe.

Balayer les magasins#

aws secretsmanager list-secrets --query 'SecretList[].Name'
aws ssm describe-parameters --query 'Parameters[].Name'

Références#

• HackTricks Cloud: AWS secrets
• AWS: Secrets Manager GetSecretValue
• Pacu (Rhino Security Labs)
• Hacking the Cloud: AWS