Frontera de confianza
Esta página enuncia las propiedades de seguridad del despliegue tal como son. Es el mismo texto que lleva el documento de claims del producto (en inglés, que es la autoridad).
El data plane
Sección titulada «El data plane»El proceso Native de un proyecto escucha en loopback sin autenticación: los directorios no están arrancados con seguridad, así que Native acepta cualquier petición de loopback. El proxy del Cloud es por tanto la única autenticación del data plane, y solo vale para el tráfico que llega a través de él. Cualquier proceso del mismo host — otro contenedor que comparta el espacio de red, una shell en la máquina, un sidecar comprometido — puede llegar al puerto de loopback de un proyecto directamente y saltarse el Cloud por completo. GET /v0/projects/{id}/head incluso reporta ese puerto al propietario. Es una propiedad aceptada y documentada del despliegue en un host, no un secreto ni una afirmación de aislamiento; termina cuando los tenants se arranquen con claves Native y el proxy presente una credencial por tenant.
Funciones
Sección titulada «Funciones»Una función corre como el usuario del daemon en el mismo host. Puede leer lo que ese usuario puede leer, alcanzar lo que el host alcanza (bajo Node), consumir CPU hasta el límite de tiempo y observar los puertos de loopback de todos los proyectos del host. No se afirma ninguna frontera de contenedor, VM, seccomp, cgroup ni red. En el despliegue en AWS lo único que se les quita es el servicio de metadatos de la instancia EC2, para que no puedan obtener las credenciales del rol de la instancia; nada más está vallado.
Los clientes
Sección titulada «Los clientes»El Studio, hcloud y @hyphae/cloud son clientes: guardan solo tus credenciales, llaman a rutas públicas y no pueden ampliar lo que el plano de control acepta. Nada de lo que muestran es autoridad sobre el motor.
El daemon del Cloud no termina TLS. En producción, CloudFront tiene el certificado y es la única fuente de red que puede llegar al host; el daemon habla HTTP plano en loopback detrás de Caddy.
Si necesitas una propiedad más fuerte que cualquiera de las aquí enunciadas, aún no se proporciona. Ver qué no es.