Deja de mirarte el ombligo con el cifrado

Lori Mac VittieIngeniero distinguido y evangelista jefe | F5

Estamos tan fascinados por nuestra propia genialidad en el ámbito de la criptografía que olvidamos que la mayoría de los datos en reposo —almacenados en bases de datos— no están cifrados.

Como ejemplo, un análisis de Skyhigh sobre los controles de cifrado reveló que el 81,8 % de los proveedores de servicios en la nube cifran los datos en tránsito mediante SSL o TLS, pero solo el 9,4 % los cifran una vez almacenados en la nube. Esto convierte el creciente número de organizaciones que ofrecen acceso sin restricciones a bases de datos en la nube y buckets de almacenamiento de AWS S3 en una pesadilla a punto de hacerse realidad.

Las ciberdefensas actuales se basan en gran medida en el hecho de que incluso los superordenadores clásicos más potentes tardarían una cantidad de tiempo casi inimaginable en descifrar los algoritmos criptográficos que protegen nuestros datos, redes informáticas y otros sistemas digitales.
De <https://it.slashdot.org/story/18/12/05/2342226/quantum-computers-pose-a-security-threat-that-were-still-totally-unprepared-for>

Esta afirmación es indiscutiblemente cierta. El problema es que la criptografía no protege por completo nuestros datos, redes informáticas y demás sistemas digitales. Protege los datos en tránsito y, si tenemos suerte, en reposo. Refuerza el control de acceso a los sistemas críticos. Pero la realidad es que, para que las «redes» y los «sistemas» puedan procesar datos y ejecutar operaciones lógicas, deben poder ver los datos como texto sin cifrar, totalmente expuesto. Las organizaciones se enfrentan a un riesgo mayor por las aplicaciones desprotegidas y sin actualizar que por los fisgones digitales.

En última instancia, esta es la razón por la que las brechas de seguridad siguen produciéndose con una frecuencia cada vez mayor. No porque los datos no estén cifrados en tránsito o en reposo, sino porque las aplicaciones y las API no pueden procesarlos mientras están cifrados. Es necesario descifrarlos, momento en el que quedan expuestos. Y las vulnerabilidades atraen a los atacantes.

Las aplicaciones y las API que interactúan con esos datos sin cifrar y operan con ellos suponen una amenaza para la seguridad y la privacidad de los datos mayor que la posibilidad de vulnerar la criptografía cuántica. Esa es una de las razones por las que son objeto de ataques con tanta frecuencia. En el análisis de F5 Labs sobre una década de brechas de seguridad «las aplicaciones fueron los objetivos iniciales en el 53 % de las brechas de seguridad». No solo son la vía más fácil para acceder a los datos, sino que también son uno de los pocos lugares que quedan en una ruta de datos cada vez más cifrada donde estos se encuentran sin cifrar y pueden ser utilizados fácilmente por quienes intentan obtenerlos.

Hoy en día, las brechas de seguridad apenas nos afectan, porque se producen con una frecuencia tan alarmante que se ha vuelto habitual ver noticias sobre millones de registros extraídos de alguna base de datos a través de una aplicación. Y ello a pesar de los esfuerzos por obligarnos a utilizar el cifrado, es decir, a usar HTTPS en lugar de HTTP. También a pesar de que los navegadores imponen estándares criptográficos a los algoritmos y las longitudes de clave utilizados para cifrar los datos y protegerlos de miradas «indiscretas».

Si las «ciberdefensas» actuales dependen realmente en gran medida de la solidez de la criptografía, entonces estamos en serios problemas. Porque la solidez de la criptografía por sí sola no evita las brechas de seguridad y la exfiltración de datos que inundan nuestros canales de noticias y saturan nuestras bandejas de entrada. Lo que las evita es la eficacia —y, cada vez más, la inteligencia— con la que podemos detectar y prevenir un ataque que provoque la pérdida de datos.

El código malicioso cifrado sigue siendo malicioso. Las credenciales robadas y cifradas que se introducen de forma masiva en los sistemas de autenticación de aplicaciones siguen siendo credenciales robadas. Eliminar los dispositivos intermediarios no elimina la amenaza de que un servidor web o de aplicaciones vulnerable ejecute un exploit para acceder a datos valiosos sin cifrar.

No basta con contemplar con admiración nuestra capacidad para reforzar el cifrado si este lleva los ataques que amenazan con explotar aplicaciones y API directamente al corazón de nuestra economía digital. Proteger nuestros activos digitales (las aplicaciones) y los canales a través de los cuales se accede a ellos (las API) exige un enfoque más integral de la protección de aplicaciones que combine inteligencia, identidad y detección de ataques, además de una criptografía robusta.

Sobre el autor

Lori Mac VittieIngeniero distinguido y evangelista jefe | F5

Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.

Más artículos de Lori Mac Vittie