Consideraciones prácticas sobre la nube: seguridad

Lori Mac VittieIngeniero distinguido y evangelista jefe | F5

La computación en la nube puede ser barata, pero no es gratis.

Hoy en día, la gran mayoría de las aplicaciones se distribuyen mediante HTTP seguro. Eso implica usar TLS o SSL, cada vez peor considerado. También implica criptografía, que tradicionalmente se ha asociado con problemas de rendimiento.

Gracias a los avances tecnológicos, las CPU actuales son increíblemente rápidas y muchos equipos cliente (y de servidor) integran de forma nativa funciones que antes requerían hardware criptográfico especializado. Esto significa que, por cada conexión, la velocidad ya no supone para la criptografía un problema tan importante como antes.

Pero eso no significa que la criptografía haya dejado de suponer un coste operativo y de rendimiento.

La mayoría de los argumentos que restan importancia a la idea de que la criptografía es una fuente significativa de problemas de rendimiento se basan en escenarios sencillos en los que intervienen un cliente y un servidor. Eso supone un proceso de cifrado y un solo proceso de descifrado. Y, en esos escenarios, quienes lo niegan tienen razón en gran medida. La latencia introducida por el cifrado y el descifrado es mínima y, por lo general, resulta menos preocupante que la sobrecarga asociada a TCP y a la red.

Pero las aplicaciones actuales no constan de un único punto de conexión. Hay múltiples intermediarios y proxies por los que debe pasar un mensaje antes de llegar siquiera a ese «único punto de conexión». Se trata de puntos de conexión de seguridad y control de acceso, equilibrio de carga y enrutamiento. Cada uno necesita inspeccionar el mensaje —sin cifrar— para desempeñar la función que tiene asignada en la compleja coreografía que constituye la ruta de datos moderna.

Aquí es donde empieza a desmoronarse el argumento de que la criptografía no resulta tan costosa. Por sí solo, un único punto de conexión introduce muy poca latencia. Sin embargo, cuando el proceso se repite varias veces en todos y cada uno de los puntos de conexión de la ruta de datos, esas latencias individuales se acumulan hasta hacerse más perceptibles y, especialmente en el caso de la nube pública, costosas desde el punto de vista operativo.

La criptografía es, por naturaleza, un proceso que requiere una gran capacidad de cálculo. Esto significa que cifrar o descifrar un mensaje consume muchos más ciclos de CPU que ejecutar la lógica de negocio. En la nube, los ciclos de CPU equivalen a dinero gastado. En general, se considera un coste asumible, ya que el objetivo es trasladar los costes de capital a los gastos operativos.

Pero los costes empiezan a acumularse si se descifra y cifra un mensaje varias veces. En la práctica, se está pagando por el mismo proceso criptográfico varias veces. Lo que podría calcularse que cuesta solo un céntimo al ejecutarse una vez pasa de repente a costar cinco céntimos al ejecutarse cinco veces. Si se hacen las cuentas para los cientos de miles de transacciones que se realizan a lo largo de un día (o de una hora), los costes resultantes son desorbitados.

Recuerde también que cada ciclo de CPU consumido por el procesamiento criptográfico es un ciclo de CPU que no se dedica a la lógica de negocio. Esto obliga a escalar horizontalmente antes de lo deseado, lo que genera aún más costes, ya que es necesario poner en marcha instancias adicionales para gestionar la carga.

Baste decir que «SSL en todas partes» no debería dar lugar a arquitecturas de «descifrado en todas partes» en la nube.

Descifrar una sola vez

Para reducir los costes y maximizar la eficiencia de las CPU por las que paga, merece la pena dedicar tiempo a diseñar su arquitectura en la nube según el principio de «descifrar una sola vez». «Descifrar una sola vez» significa que debe minimizar el número de puntos finales de la ruta de datos que tienen que descifrar y volver a cifrar los mensajes en tránsito.

Para ello, es necesario planificar con antelación y analizar detenidamente los dieciséis servicios de aplicaciones diferentes que utiliza actualmente para proteger y escalar sus aplicaciones. Si no está sujeto a normativas o requisitos que exijan el cifrado de extremo a extremo, diseñe la ruta de datos de modo que los mensajes se descifren lo antes posible para evitar ciclos adicionales de procesamiento dedicados a descifrarlos más adelante. Si debe mantener el cifrado de extremo a extremo, combinar los servicios siempre que sea posible le permitirá utilizar los recursos informáticos de la forma más eficiente.

Combinar en una única plataforma todos los servicios posibles —por ejemplo, el balanceo de carga y el firewall de aplicaciones web— permite reducir el número de veces que es necesario descifrar los mensajes en tránsito. Además, ofrece la ventaja añadida de reducir el número de conexiones y el tiempo en la red, lo que se traduce en un mejor rendimiento para usuarios y consumidores. Pero el verdadero ahorro reside en los ciclos de CPU que no se emplean en descifrar y volver a cifrar repetidamente.

Puede parecer una pérdida de tiempo plantearse el impacto del cifrado y el descifrado en una aplicación que hoy apenas se utiliza. Desde luego, el ahorro de unos céntimos no compensa el coste del esfuerzo. Pero, a medida que las aplicaciones crecen, escalan y se mantienen en el tiempo, esos céntimos acabarán sumando cantidades significativas. Por no mencionar que, al igual que los céntimos, los microsegundos también se acumulan. Si se tiene en cuenta el impacto de la criptografía en toda la ruta de datos, a largo plazo se pueden obtener beneficios tanto para los usuarios como para la empresa.

Sobre el autor

Lori Mac VittieIngeniero distinguido y evangelista jefe | F5

Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.

Más artículos de Lori Mac Vittie