Misión 6 · Construye los límites
El cofre del tesoro vacío
Mantén las credenciales reales fuera del entorno del agente.
Un atacante ha leído todos los archivos y variables de entorno de la instancia del bot de Reza. Ahora no puedes impedir esa lectura. Sí puedes decidir qué había allí desde el principio.
Atacante
“Encontré las configuraciones del bot. Ahora robaré la clave de API real y el token del bot.”
La decisión
¿Qué plan de almacenamiento limita mejor el robo de credenciales?
- Pon las credenciales reales en un archivo llamado secret.txt
El nombre avisa a todo el mundo de que no debe abrirlo. - Dale al bot tokens de reemplazo; guarda las credenciales reales en su proxy
Solo el proxy controlado cambia los reemplazos por los valores reales. - Pon las credenciales reales en las variables de entorno del bot
No son visibles en la ventana de chat normal.
Mostrar la explicación
El atacante encuentra tokens de reemplazo, no la clave real del proveedor ni el token del bot de Telegram. Esos reemplazos siguen teniendo poder a través del proxy autorizado, así que también deben controlarse y rotarse después de un compromiso.
No puedes robar un secreto real de un lugar al que nunca llegó.- El proxy guarda las credenciales reales y las inyecta en el momento de la salida.
- Los tokens de reemplazo no son credenciales válidas cuando se envían directamente a Telegram o al proveedor del modelo.
- No pegues tokens reales en este juego, en chats ni en la instancia del bot. Esto es solo una simulación educativa.
Credencial
Un secreto, como una clave de API o un token de bot, que permite actuar como una cuenta o un servicio.