Domain-Wide Delegation: el riesgo crítico y peor auditado de Google Workspace
Por el equipo de QuantumSec
La delegación de dominio (Domain-Wide Delegation o DWD) es una de las funciones más potentes —y más peligrosas— de Google Workspace. Permite que una cuenta de servicio actúe en nombre de cualquier usuario del dominio. Bien usada, habilita integraciones legítimas; mal controlada, es un camino directo a la toma de control total del entorno. El estudio "DeleFriend" puso el foco en lo fácil que es abusar de ella.
Qué es la delegación de dominio (DWD)
La delegación de dominio permite que una cuenta de servicio de Google Cloud (GCP) acceda a los datos de los usuarios de un Workspace en su nombre, con un conjunto de permisos (scopes) autorizados en la consola de administración. Se usa para integraciones que necesitan operar sobre muchos buzones o archivos, como herramientas de backup, migración o cumplimiento.
Por qué es tan peligrosa
Una cuenta de servicio con delegación de dominio puede impersonar a cualquier usuario del dominio —incluidos los súper administradores— sin su contraseña y sin disparar el MFA. Eso significa acceso potencial a todo el Gmail, el Drive y el Calendar de la organización. Es, posiblemente, el activo más sensible del entorno y el que con más frecuencia queda fuera de las revisiones de seguridad.
DeleFriend: el fallo de diseño
Investigadores de seguridad (Hunters) describieron en "DeleFriend" cómo un atacante con acceso limitado a un proyecto de GCP puede identificar y abusar de cuentas de servicio con delegación de dominio. La clave es que la delegación se asocia al identificador de la cuenta de servicio y no a una clave concreta, y que es posible probar combinaciones de tokens y scopes (fuzzing de JWT) sin restricciones para encontrar delegaciones explotables.
Del GCP al Workspace (y viceversa)
La delegación de dominio difumina la frontera entre Google Cloud y Google Workspace. Quien controle una cuenta de servicio con DWD en GCP puede pivotar hacia el Workspace e impersonar usuarios; y a la inversa, comprometer el Workspace puede facilitar el acceso a GCP. Auditar uno sin el otro deja un hueco crítico: hay que mirar los dos lados de la integración.
Cómo auditar y mitigar el riesgo
Las acciones clave: inventariar todas las cuentas de servicio con delegación de dominio y los scopes que tienen concedidos; aplicar el mínimo de scopes imprescindibles para cada integración; restringir en GCP quién puede crear claves para esas cuentas de servicio (IAM); rotar las claves periódicamente; y eliminar las delegaciones que ya no se usan. Una auditoría de Workspace debe revisar esto de forma explícita, porque rara vez se mira.
FAQ
¿DeleFriend sigue siendo explotable?
El abuso de la delegación de dominio depende del diseño de la función y de la configuración de cada organización, no de un parche puntual. La mitigación está en tu lado: inventario de cuentas de servicio con DWD, mínimo privilegio de scopes, control de quién genera claves en GCP y monitorización.
¿Cómo sé si tengo delegación de dominio activa?
Se revisa en la consola de administración de Google (gestión de delegación de dominio) cruzándolo con las cuentas de servicio de GCP y sus permisos en IAM. Es precisamente uno de los puntos que cubrimos en una auditoría de Google Workspace.