🔍 Auditoría de Red — AquilaScan WDTP-80 CONFIDENCIAL

Estas rutas respondieron HTTP 200 en el servidor de actualizaciones (164.77.118.86) sin requerir autenticación. HTTP 200 significa que el servidor procesó el request y devolvió contenido — no que el acceso fue bloqueado. En un servidor de producción con datos médicos, cualquiera de estas rutas accesible sin auth es una vulnerabilidad crítica.

=== GET /db → HTTP 200 ===
2

=== GET /backup → HTTP 200 ===
2

=== GET /data → HTTP 200 ===
2

=== GET /logs → HTTP 200 ===
2

Se enviaron credenciales triviales (admin/admin, aquila/aquila, workmed/workmed, etc.) a todos los endpoints de login. HTTP 200 en respuesta a credenciales inválidas indica que el servidor no valida correctamente las credenciales — ya sea porque el endpoint no tiene autenticación implementada, usa un handler catch-all que devuelve 200 siempre, o las credenciales por defecto son realmente válidas. Un login legítimo rechaza credenciales incorrectas con HTTP 401 o 403 — nunca 200.

=== Pruebas de autenticación ===

POST /api/login | body={"user":"admin","password":"admin"} | HTTP=200
Resp: 2

POST /login | body={"user":"admin","password":"admin"} | HTTP=200
Resp: 2

POST /api/auth | body={"user":"admin","password":"admin"} | HTTP=200
Resp: 2

POST /api/v2/login | body={"user":"admin","password":"admin"} | HTTP=200
Resp: 2

POST /api/login | body={"user":"admin","password":"admin123"} | HTTP=200
Resp: 2

POST /login | body={"user":"admin","password":"admin123"} | HTTP=200
Resp: 2

POST /api/auth | body={"user":"admin","password":"admin123"} | HTTP=200
Resp: 2

POST /api/v2/login | body={"user":"admin","password":"admin123"} | HTTP=200
Resp: 2

POST /api/login | body={"user":"admin","password":"123456"} | HTTP=200
Resp: 2

POST /login | body={"user":"admin","password":"123456"} | HTTP=200
Resp: 2

POST /api/auth | body={"user":"admin","password":"123456"} | HTTP=200
Resp: 2

POST /api/v2/login | body={"user":"admin","password":"123456"} | HTTP=200
Resp: 2

POST /api/login | body={"user":"aquila","password":"aquila"} | HTTP=200
Resp: 2

POST /login | body={"user":"aquila","password":"aquila"} | HTTP=200
Resp: 2

POST /api/auth | body={"user":"aquila","password":"aquila"} | HTTP=200
Resp: 2

POST /api/v2/login | body={"user":"aquila","password":"aquila"} | HTTP=200
Resp: 2

POST /api/login | body={"user":"aquilascan","password":"aquilascan"} | HTTP=200
Resp: 2

POST /login | body={"user":"aquilascan","password":"aquilascan"} | HTTP=200
Resp: 2

POST /api/auth | body={"user":"aquilascan","password":"aquilascan"} | HTTP=200
Resp: 2

POST /api/v2/login | body={"user":"aquilascan","password":"aquilascan"} | HTTP=200
Resp: 2

POST /api/login | body={"user":"workmed","password":"workmed"} | HTTP=200
Resp: 2

POST /login | body={"user":"workmed","password":"workmed"} | HTTP=200
Resp: 2

POST /api/auth | body={"user":"workmed","password":"workmed"} | HTTP=200
Resp: 2

POST /api/v2/login | body={"user":"workmed","password":"workmed"} | HTTP=200
Resp: 2

POST /api/login | body={"user":"wdtp","password":"wdtp80"} | HTTP=200
Resp: 2

POST /login | body={"user":"wdtp","password":"wdtp80"} | HTTP=200
Resp: 2

POST /api/auth | body={"user":"wdtp","password":"wdtp80"} | HTTP=200
Resp: 2

POST /api/v2/login | body={"user":"wdtp","password":"wdtp80"} | HTTP=200
Resp: 2

POST /api/login | body={"user":"device","password":"device"} | HTTP=200
Resp: 2

POST /login | body={"user":"device","password":"device"} | HTTP=200
Resp: 2

POST /api/auth | body={"user":"device","password":"device"} | HTTP=200
Resp: 2

POST /api/v2/login | body={"user":"device","password":"device"} | HTTP=200
Resp: 2

POST /api/login | body={"username":"admin","password":"admin"} | HTTP=200
Resp: 2

POST /login | body={"username":"admin","password":"admin"} | HTTP=200
Resp: 2

POST /api/auth | body={"username":"admin","password":"admin"} | HTTP=200
Resp: 2

POST /api/v2/login | body={"username":"admin","password":"admin"} | HTTP=200
Resp: 2

POST /api/login | body={"device_id":"WDTP80-001","token":""} | HTTP=200
Resp: 2

POST /login | body={"device_id":"WDTP80-001","token":""} | HTTP=200
Resp: 2

POST /api/auth | body={"device_id":"WDTP80-001","token":""} | HTTP=200
Resp: 2

POST /api/v2/login | body={"device_id":"WDTP80-001","token":""} | HTTP=200
Resp: 2

Las Cloud Functions de Workmed (workmed-log/aquilascan y workmed-log/aquilascan-prod) esperan recibir el XML con resultados del examen toxicológico enviado por el WDTP-80. Se probaron distintos payloads XML. HTTP 400 significa que la función existe, recibe el request y lo procesa, pero rechaza el payload por formato incorrecto — no por falta de autenticación. Cualquier actor que conozca el esquema XML correcto (documentado por TSCOM) puede enviar resultados falsos sin ningún token de acceso. HTTP 200 en cualquiera de estas pruebas sería un hallazgo crítico.

=== Pruebas de payload XML ===

--- /aquilascan ---

Se enviaron credenciales triviales a todos los endpoints de login sin autenticación previa. HTTP 200 es el resultado de un servidor que no valida credenciales — un sistema seguro devuelve 401 (no autorizado) o 403 (prohibido) ante credenciales inválidas, nunca 200. HTTP 200 a admin/admin puede significar: (a) autenticación no implementada, (b) handler catch-all, o (c) credenciales por defecto realmente activas en producción.

Se probaron todas las funciones del proyecto GCP workmed-log en la región Santiago. HTTP 400 no significa "acceso denegado" — significa que la función existe, recibe el request y lo procesa, pero rechaza el body por formato incorrecto. La diferencia crítica: 401/403 = función protegida. 400 = función activa sin token requerido. El protocolo correcto es XML (documentado por TSCOM) — cualquier actor con ese esquema puede enviar resultados falsos de exámenes o consultar datos sin autenticación.

Los certificados TLS garantizan que el canal de comunicación está cifrado, pero no garantizan que quien recibe los datos esté autorizado para verlos. Verificar: (1) si el certificado es de una CA confiable y no ha expirado, (2) si el servidor acepta TLS 1.0 o 1.1 — versiones obsoletas vulnerables a POODLE y BEAST que permiten descifrar el XML con resultados toxicológicos en tránsito. TLS 1.2+ con cifrado moderno es el mínimo aceptable para datos de salud bajo Ley 21.719.

Sin datos TLS — re-ejecutar audit_red.sh