Soluciones Criptográficas

Esta parte es una de las más densas y estratégicas de todo el dominio de la criptografía aplicada en ciberseguridad. Abarca desde conceptos de cifrado de datos en diferentes estados hasta la ofuscación y blockchain.

Vamos a organizar y explicar por bloques con ejemplos, analogías y aplicación práctica profesional.

1. Estados de los Datos

A. Datos en Reposo

Son los que están almacenados, como archivos, bases de datos o backups.

Ejemplo real:

• El disco duro de un portátil con información financiera.

• Una carpeta con historiales médicos en un servidor hospitalario.

Protección recomendada:

• Cifrado de disco completo (FDE): protege el disco si lo roban.

• Cifrado por archivos (EFS): ideal si varios usuarios acceden con permisos distintos.

Analogia:
Piensa en un cofre cerrado con llave (FDE) frente a muchas cajas cerradas cada una con su propia cerradura (EFS).

B. Datos en Tránsito

Se refiere a los datos que van de un punto A a un punto B por una red.

Ejemplo real:

• Información bancaria entre tu navegador y el banco (https).

• Una VPN corporativa cifrando tu conexión remota.

Tecnologías clave:

• TLS (HTTPS), IPsec (VPN), WPA3 (Wi-Fi).

Analogia:
Es como enviar una carta sellada en un sobre con candado (cifrado TLS) a través de un mensajero inseguro (Internet).

C. Datos en Uso

Datos procesados en RAM o registros de CPU.

Ejemplo real:

• Tu contraseña en texto plano mientras la escribes antes de que se hashee.

• Tokens en memoria mientras validas una sesión.

Riesgo:
Los atacantes pueden hacer "Memory Dump" o usar malware para acceder a esos datos.

Mitigación:

• Secure Enclaves (Intel SGX, ARM TrustZone).

• Políticas de mínima exposición y auto-borrado.

2. Esquema Híbrido de Cifrado: DEK + KEK

Claves involucradas:

• DEK (Data Encryption Key): clave simétrica para cifrar datos.

• KEK (Key Encryption Key): clave asimétrica que protege la DEK.

Ejemplo real:

• Un archivo cifrado con AES-256 (DEK) cuya clave está protegida por una clave RSA pública (KEK).

• Solo con la clave privada puedes acceder a la DEK → luego descifras el archivo.

Analogia: Tu DEK es el "billete de tren", y el KEK es el "cofre que guarda el billete". Solo tú (con la llave privada) puedes abrir el cofre y usar el billete.

3. Cifrado de Bases de Datos

A. Nivel de base de datos (TDE)

Cifra automáticamente todo lo almacenado en disco, transparente para apps.

• Fácil de aplicar.

• No protege contra administradores con acceso a la base.

B. Nivel de columna/celda (Always Encrypted)

Solo la app cliente puede ver el dato en claro. El servidor nunca accede al dato.

• Ideal para datos sensibles como tarjetas, salud, contraseñas.

• Requiere más arquitectura.

C. Nivel de registro

Cada fila puede tener su propia clave. Es lo más granular y más seguro.

Ejemplo real:

• Un paciente tiene su propio par de claves para su historial médico.

• Ni el administrador del servidor puede ver el contenido.

4. Transporte Seguro

A. TLS + Intercambio de claves (RSA o ECC)

• Protege comunicaciones (como HTTPS).

• Cifra la sesión con AES.

• AES → rápido, clave corta.

• RSA/ECC → lento, se usa solo para compartir la clave de sesión.

B. Forward Secrecy (PFS)

Evita que la captura de datos hoy sea útil si se roba una clave mañana.

• Se usa Diffie-Hellman Efímero (DHE/ECDHE).

• Crea claves por sesión. No se reutilizan.

Analogia: Es como destruir cada sobre y candado usados para una carta, después de cada entrega. Aunque interceptes la llave más tarde, ya no puedes abrir las cartas pasadas.

5. Hashing Seguro: Salting y Estiramiento

Salting

Agrega una sal (valor aleatorio) a cada contraseña antes de hashearla.

Por qué es importante:

• Evita que dos contraseñas iguales generen el mismo hash.

• Invalida las Rainbow Tables.

Estiramiento (Key Stretching)

Realiza miles de hash sobre una contraseña para ralentizar el cracking.

Ejemplo real:

• PBKDF2: usado en WPA2.

• bcrypt / scrypt / Argon2: algoritmos modernos.

6. Blockchain como caso de uso criptográfico

• Registro descentralizado, distribuido, inmutable.

• Cada bloque está ligado al anterior → integridad total.

Aplicaciones:

• Trazabilidad.

• Registros sanitarios.

• Votación segura.

• Propiedad digital (NFTs, PI).

Punto débil:

• No es anónimo: todo queda registrado.

• Desperdicio energético si no se usan mecanismos eficientes (Proof of Stake > Proof of Work).

7. Ofuscación (Complemento, no sustituto del cifrado)

• Esteganografía: oculta mensajes en imágenes, audio, etc.

• Tokenización: reemplaza un dato con un valor aleatorio.

• Enmascaramiento: esconde parcialmente el dato (ej. tarjetas de crédito).

• Usos clave: ocultar datos en entornos de pruebas, demos, anonimización de datasets.

📋 Comparativa de Cifrado según el Estado de los Datos

🔐 1. Datos en Reposo

• Técnica de Cifrado: Cifrado de disco completo (FDE) / Particiones / Archivos (EFS)

• Algoritmos Usados: AES (128/256), claves simétricas

• Ventajas: Protege contra el robo físico; gestión sencilla

• Limitaciones/Riesgos: Dependencia de contraseña para desbloqueo

• Ejemplos Prácticos: BitLocker, FileVault, EFS, SED (Self-Encrypting Drive)

• Técnica de Cifrado: Cifrado en bases de datos (TDE, Always Encrypted, Celdas, Registros)

• Algoritmos Usados: AES (DEK) + RSA/ECC (KEK)

• Ventajas: Protección granular; separación de roles (admin ≠ dueño de datos)

• Limitaciones/Riesgos: Complejidad y consumo de recursos; gestión de claves

• Ejemplos Prácticos: SQL Server Always Encrypted, TDE, Oracle Advanced Security

-

🌐 2. Datos en Tránsito

• Técnica de Cifrado: TLS, IPsec, WPA3 con intercambio de claves (RSA/ECC + AES)

• Algoritmos Usados: AES + RSA/ECC para clave de sesión

• Ventajas: Cifrado rápido de tráfico; autenticación y confidencialidad

• Limitaciones/Riesgos: Inicialización lenta; requiere certificados válidos

• Ejemplos Prácticos: HTTPS, VPNs, WPA3, conexiones seguras a API REST

• Técnica de Cifrado: Forward Secrecy (DHE/ECDHE) + AES

• Algoritmos Usados: DHE/ECDHE + AES

• Ventajas: Evita descifrado posterior incluso si se compromete la clave privada

• Limitaciones/Riesgos: Mayor carga computacional; implementación más compleja

• Ejemplos Prácticos: Navegadores modernos, conexiones HTTPS con PFS

-

💾 3. Datos en Uso

• Técnica de Cifrado: Secure Enclaves (Intel SGX, ARM TrustZone), cifrado en RAM

• Algoritmos Usados: Protección en hardware con claves restringidas

• Ventajas: Evita accesos desde procesos root o malware a datos en RAM

• Limitaciones/Riesgos: Soporte limitado; hardware específico requerido

• Ejemplos Prácticos: Procesamiento de datos biométricos o tokens dentro de enclaves seguros

Lista completa y estructurada de los activos que deberías proteger como profesional de ciberseguridad, agrupada por tipos de activos, junto con el tipo de seguridad o protección necesaria para cada uno.

🖥️ Activos Físicos y Dispositivos

1. Estaciones de trabajo (PCs, laptops)

• 🔐 Protección requerida:

  • Cifrado de disco completo (FDE) con BitLocker, FileVault o VeraCrypt.

  • Antivirus, EDR (Endpoint Detection & Response).

  • Políticas de contraseñas fuertes y doble autenticación (MFA).

  • Control de acceso físico (candados, zonas restringidas).

• 🎯 Riesgos mitigados: Robo, pérdida, malware, acceso no autorizado.

2. Dispositivos móviles (smartphones, tablets)

• 🔐 Protección requerida:

  • Cifrado de almacenamiento.

  • Gestión de dispositivos móviles (MDM).

  • Bloqueo biométrico y código PIN seguro.

  • VPN y protección WiFi.

• 🎯 Riesgos mitigados: Pérdida, fuga de datos, espionaje, malware móvil.

3. Servidores físicos

• 🔐 Protección requerida:

  • Hardening del sistema operativo.

  • Firewall y monitoreo constante (NIDS/HIDS).

  • Segmentación de red.

  • Cifrado de discos y backups.

• 🎯 Riesgos mitigados: Intrusiones, movimientos laterales, fuga de datos, ransomware.

🌐 Infraestructura de Red

4. Equipos de red (routers, switches, firewalls)

• 🔐 Protección requerida:

  • Cambiar contraseñas por defecto.

  • Actualización de firmware.

  • Desactivar protocolos no seguros (Telnet, HTTP).

  • Monitoreo de logs y acceso remoto seguro (SSH, VPN).

• 🎯 Riesgos mitigados: Secuestro de red, ataques MITM, escaneo y explotación.

5. WiFi corporativa

• 🔐 Protección requerida:

  • WPA3 Enterprise + autenticación 802.1X.

  • Segmentación (por VLAN o SSID).

  • Portal cautivo para invitados.

• 🎯 Riesgos mitigados: Sniffing, acceso no autorizado, ataques de repetidor.

🗄️ Datos y Almacenamiento

6. Discos duros y SSD

• 🔐 Protección requerida:

  • Cifrado de disco (FDE o SED).

  • Almacenamiento seguro en cofres físicos o racks con llave.

• 🎯 Riesgos mitigados: Robo, pérdida física, acceso no autorizado.

7. Copias de seguridad (backups locales o en la nube)

• 🔐 Protección requerida:

  • Cifrado de backups (AES-256).

  • Versionado y pruebas regulares de restauración.

  • Acceso controlado con MFA.

• 🎯 Riesgos mitigados: Ransomware, borrado accidental, acceso no autorizado.

📡 Sistemas en la nube y SaaS

8. Plataformas SaaS (correo, almacenamiento, CRM, etc.)

• 🔐 Protección requerida:

  • Control de acceso con roles y MFA.

  • Auditoría de actividad.

  • Cifrado en tránsito y en reposo.

• 🎯 Riesgos mitigados: Pérdida de control de datos, phishing, secuestro de cuentas.

9. Infraestructura en la nube (IaaS/PaaS)

• 🔐 Protección requerida:

  • Control de identidades (IAM).

  • Firewalls virtuales y reglas de seguridad.

  • Configuración segura de instancias y redes.

• 🎯 Riesgos mitigados: Exposición de recursos, configuración débil, ataques automatizados.

🔐 Criptografía y claves

10. Claves criptográficas (simétricas/asimétricas)

• 🔐 Protección requerida:

  • Almacenamiento en HSM o TPM.

  • Rotación regular de claves.

  • Control de acceso (MFA, políticas de KMS).

• 🎯 Riesgos mitigados: Robo de claves, uso indebido, persistencia de amenazas.

11. Certificados digitales

• 🔐 Protección requerida:

  • Gestión centralizada de PKI.

  • Monitoreo de fechas de expiración.

  • Revocación con CRL/OCSP.

• 🎯 Riesgos mitigados: Spoofing, MITM, certificados caducados.

🧠 Usuarios, identidad y cuentas

12. Cuentas de usuarios y administradores

• 🔐 Protección requerida:

  • MFA obligatorio.

  • Principio de mínimo privilegio.

  • Auditorías y detección de accesos anómalos.

• 🎯 Riesgos mitigados: Escalada de privilegios, abuso de cuentas internas.

13. Contraseñas

• 🔐 Protección requerida:

  • Hashing con sal y estiramiento (PBKDF2, bcrypt).

  • Políticas fuertes de creación y rotación.

  • Uso de gestores de contraseñas.

• 🎯 Riesgos mitigados: Fuerza bruta, diccionario, brechas de credenciales.

🧪 Ambientes y aplicaciones

14. Aplicaciones internas y APIs

• 🔐 Protección requerida:

  • Validación de entrada/salida.

  • Autenticación robusta (OAuth, JWT).

  • Escaneo regular de vulnerabilidades.

• 🎯 Riesgos mitigados: XSS, SQLi, API abuse, ataques de sesión.

15. Entornos de desarrollo y pruebas

• 🔐 Protección requerida:

  • Separación de entornos (prod/dev/test).

  • Datos anonimizados o ficticios.

  • Monitoreo de acceso y auditoría.

• 🎯 Riesgos mitigados: Fugas de datos reales, acceso no autorizado a código.