Cloud Storage prend en charge des clés HMAC compatibles S3 pour l'interopérabilité. storage.hmacKeys.create permet de générer une paire clé d'accès/secret liée à un compte de service, paire qui donne ensuite accès à tous les buckets accessibles par ce compte, via l'API XML (S3), en dehors du chemin OAuth habituel et de sa journalisation. C'est à la fois un mouvement latéral (agir en tant que le compte de service sur le stockage) et un identifiant durable et peu visible.
Créer et utiliser une clé#
# mint an HMAC key for a service account you can act for
gsutil hmac create <sa>@<project>.iam.gserviceaccount.com
# -> Access ID and Secret
# use it with any S3 client against the GCS XML endpoint
AWS_ACCESS_KEY_ID=<accessid> AWS_SECRET_ACCESS_KEY=<secret> \
aws --endpoint-url https://storage.googleapis.com s3 ls
Notes d'exploitation#
- La clé hérite de l'accès au stockage du compte de service : il convient donc de cibler un compte disposant de rôles étendus sur les buckets.
- L'accès HMAC transite par l'API de type S3, que certains outils de supervision et les VPC Service Controls traitent différemment des appels GCS natifs, ce qui en fait un chemin plus discret.
- Les clés persistent jusqu'à suppression explicite, indépendamment des jetons du compte, ce qui en fait aussi un moyen de persistance.
Outils#
- gsutil (
hmac create,hmac list). - Tout client S3 (
aws s3, boto3) pointé versstorage.googleapis.com.