Conexiones privadas cifradas

Qué incluye el servicio

Diseñamos y desplegamos para tu equipo un espacio cifrado dedicado para la transmisión segura de datos y el acceso a los recursos internos. El trabajo incluye la construcción de un circuito privado entre dispositivos, oficinas y servidores, la configuración del cifrado de extremo a extremo del tráfico, la emisión de claves de acceso personales para cada empleado y la conexión a los sistemas internos necesarios. Ese circuito permite trabajar de forma remota y segura con las bases de datos, los paneles y los archivos de la empresa como si estuvieras en una única red protegida, sin que el tráfico pueda leerse desde fuera. Separamos el acceso por usuarios para que cada uno tenga solo la parte que le corresponde y para que una clave pueda revocarse en cualquier momento. El resultado es un perímetro privado gestionable, en lugar de un conjunto de contraseñas dispersas circulando por los mensajeros.

Cómo funciona en esencia

En la base están el cifrado del canal y la autenticación mutua de las partes. Antes de transmitir un solo byte de datos útiles, dos puntos acuerdan una clave secreta común mediante un protocolo de intercambio de claves, sin enviar la propia clave por la red, y confirman su autenticidad. Después, todo el tráfico se envuelve en un flujo cifrado: para cualquier observador entre los puntos es un ruido ilegible del que no se puede extraer ni el contenido ni la estructura de las solicitudes. Cada usuario recibe su propio par de claves, así que el acceso se concede y se revoca de forma individual, y no con una contraseña común para todos. Sobre el canal configuramos el enrutamiento hacia los recursos internos permitidos, para que el empleado vea solo lo que necesita. Toda la privacidad se apoya en criptografía sólida y en una gestión correcta de las claves, no en ocultar el propio hecho de la conexión.

De dónde viene la criptografía del canal seguro

El fundamento de la transmisión segura lo puso el trabajo de Whitfield Diffie y Martin Hellman «Nuevas direcciones en criptografía», publicado en 1976 en la revista IEEE Transactions on Information Theory. Describió por primera vez el intercambio de claves por un canal abierto, una idea sin la cual no es posible ninguna comunicación cifrada moderna. El cifrado masivo del tráfico en internet empezó con el protocolo SSL, que la empresa Netscape presentó en su versión 2.0 en febrero de 1995 junto con el navegador Navigator. En 1999, la organización IETF estandarizó la evolución de ese protocolo con el nombre de TLS 1.0 en el documento RFC 2246, y la versión actual TLS 1.3 salió en agosto de 2018 como RFC 8446, eliminando mecanismos obsoletos y vulnerables. Precisamente esa línea —de la idea de Diffie-Hellman a TLS 1.3— es la base de una transmisión de datos segura y sólida.

Por qué es crítica la precisión de la configuración

En un circuito seguro la protección no se apoya en el mero hecho del cifrado, sino en su configuración correcta. Un protocolo obsoleto o un cifrado débil crean una falsa sensación de protección: el canal parece cifrado, pero se abre con ataques conocidos, y las versiones antiguas de SSL y los primeros TLS están comprometidas desde hace tiempo. No menos crítica es la gestión de las claves: si las claves se guardan de forma descuidada o no se revocan a un empleado despedido, todo el perímetro queda comprometido por una sola persona. Por eso el trabajo principal es elegir protocolos actuales, repartir correctamente los accesos por usuarios y establecer el procedimiento de emisión y revocación de claves. Configuramos el circuito con criptografía moderna y sólida y comprobamos la robustez de la conexión, en lugar de marcar la casilla «cifrado activado» y marcharnos.

Con qué stack trabajamos

Construimos el circuito privado sobre protocolos modernos de canales cifrados basados en criptografía de curva elíptica y en el intercambio de claves sin transmitirlas por la red. El cifrado de transporte se apoya en la rama actual de TLS 1.3, y la autenticación de las partes en claves y certificados personales emitidos para cada usuario. El circuito se despliega en tu servidor, así que el punto de entrada y las claves te pertenecen y no se alquilan a un servicio ajeno. El enrutamiento hacia los recursos internos y la separación de accesos los configuramos como una capa aparte, para que los permisos puedan cambiarse sin reinstalar nada en los usuarios. El stack es abierto y portable: si hace falta, todo el circuito se reproduce en otro servidor, y las claves y la configuración se quedan bajo tu control.

Cuándo aparecieron las tecnologías clave

Las tecnologías de transmisión segura se han forjado durante casi medio siglo. El intercambio de claves por canal abierto lo describieron Diffie y Hellman en 1976. El primer protocolo masivo de cifrado del tráfico web, SSL 2.0, lo lanzó Netscape en febrero de 1995. En 1999 la IETF estandarizó a su sucesor, TLS 1.0, en el RFC 2246, y la versión moderna TLS 1.3 salió en agosto de 2018 en el RFC 8446. En paralelo se desarrollaron protocolos de túneles cifrados basados en criptografía de curva elíptica, que hoy dan una conexión sólida con latencia mínima. Usamos precisamente la generación actual de estas tecnologías, y no protocolos obsoletos cuya solidez ya está en entredicho.

Por qué puedes confiárnoslo

La experiencia acumulada de nuestro equipo en TI supera los 45 años, y los circuitos seguros los levantamos en la práctica, no en la teoría. Abordamos la tarea como ingenieros: diseñamos el esquema de acceso, elegimos protocolos actuales, repartimos las claves por usuarios y establecemos el procedimiento de su revocación. El punto de entrada y las claves se despliegan de tu lado y te pertenecen: no te atamos a nuestro servicio y te entregamos la gestión por completo. Te advertiremos con franqueza dónde la privacidad se apoya en la disciplina de custodia de las claves, y no en la magia, y te ayudaremos a construir esa disciplina. Como resultado obtienes un perímetro protegido y gestionable para el equipo, en lugar de accesos dispersos imposibles de gestionar y de cerrar con rapidez.