🛡️ IMDSv1 vs IMDSv2 en EC2: SSRF, métricas, riesgos y una migración segura
¿Qué riesgo existe realmente al mantener IMDSv1 habilitado en una instancia EC2? En 2019, el incidente de Capital One mostró que el acceso no autorizado al EC2 Instance Metadata Service (IMDS) puede formar parte de una cadena de ataque con consecuencias muy serias. El incidente terminó afectando información de más de 100 millones de personas. Más adelante veremos qué ocurrió y qué papel tuvo el…
El artículo se centra en las diferencias entre IMDSv1 y IMDSv2 en las instancias EC2, incluyendo las posibles amenazas y cómo migrar de manera segura. El Incidente de Capital One en 2019 mostró el riesgo de un acceso no autorizado a IMDS, que afectó a más de 100 millones de personas.
IMDSv1 utiliza una petición HTTP directa hacia la dirección link-local 169.254.169.254, mientras que IMDSv2 agrega una sesión basada en token, requiriendo una solicitud previa para obtener el token y luego utilizarlo en las consultas posteriores.
Una forma de garantizar una migración segura es verificar las métricas de CloudWatch como MetadataNoToken y asegurarse de que la instancia no realice llamadas a IMDSv1 antes de configurar IMDSv2 en obligatorio. La consola y la API, CLI y Terraform utilizan diferentes nombres para representar la misma configuración, por lo que es importante entender ambas opciones para evitar problemas con aplicaciones, agentes, SDKs o scripts antiguos.
Written by urgent.news from Dev.to's reporting — not their text. Machine-written — may contain errors; check the original before relying on it.
