STS : Security Token Service
Sécurité
STS : Security Token Service. « Service de jetons de sécurité », par analogie avec l'accueil d'un bâtiment qui échange une pièce d'identité contre un badge visiteur valable pour la journée.
Rôle : Service d'AWS qui délivre des identifiants temporaires : identifiant de clé d'accès, clé secrète, jeton de session et date d'expiration. Il évite de distribuer des clés d'accès permanentes.
AssumeRole et ses cousins : AssumeRole permet à un principal d'endosser un rôle IAM si la politique de confiance du rôle l'autorise. Des variantes acceptent une fédération d'identité par SAML ou par jeton OIDC, ce qui permet par exemple à une chaîne CI de se passer de secrets stockés.
Point d'attaque : La politique de confiance d'un rôle est un document que presque personne ne relit, ce qui en fait l'endroit idéal pour une porte dérobée : un compte externe ajouté discrètement y obtient des identifiants frais aussi souvent qu'il le souhaite. Les appels STS apparaissent dans les journaux d'audit et méritent une surveillance.
Ce qui arrive si on s'en passe
Sans identifiants temporaires, les applications et les personnes utilisent des clés d'accès permanentes. Une clé de ce type qui fuit, dans un dépôt de code, un journal ou une image de conteneur, reste valable jusqu'à ce que quelqu'un pense à la révoquer, ce qui peut prendre des mois. Avec des identifiants temporaires, une fuite reste exploitable seulement jusqu'à l'expiration du jeton. Encore faut-il que les politiques de confiance des rôles soient restrictives : un rôle qui accepte n'importe quel principal transforme le service de jetons en distributeur d'accès pour un attaquant.
Explication de la marmotte
Dans certains immeubles, on ne donne pas de clé définitive aux visiteurs. On passe à l'accueil, on montre qui on est, et on reçoit un badge qui ne fonctionne que quelques heures et n'ouvre que certaines portes. Le soir, le badge ne marche plus, même si on oublie de le rendre. Ce service fait la même chose pour les programmes et les personnes qui utilisent un grand service d'hébergement en ligne : il distribue des autorisations provisoires plutôt que des clés à vie.
Où ce terme est utilisé
- Configurer GitHub Actions OIDC vers AWS sans clé statique (6 occurrences)
- Détecter la persistance IAM dans AWS (3 occurrences)
- Mettre en place un accès JIT AWS pour comptes à privilèges (3 occurrences)
- OIDC pour sécuriser les identifiants CI/CD (3 occurrences)
- SSRF vers IMDS et vol d’identifiants IAM (3 occurrences)
- Mettre en place la fédération d’identité de charge (2 occurrences)
- Chaîne d'alimentation et refroidissement d'un datacenter (1 occurrence)
- PAM, JIT et comptes break-glass sécurisés (1 occurrence)