Qué son los principios de seguridad
Cuando pensamos en seguridad, es fácil imaginar una sola técnica de cifrado ingeniosa. Pero por muy sólida que sea una cerradura, no sirve de nada si la puerta se deja abierta de par en par. Una casa de verdad segura no se hace con una sola cerradura. La seguridad nace de un conjunto de compromisos de diseño: a quién dar qué llave, qué detiene al intruso cuando cae una capa, si a los invitados desconocidos se les deja entrar o se les detiene, y si la estructura es simple o compleja. El cifrado, la autenticación, los cortafuegos y los hábitos humanos de las lecciones anteriores solo muestran toda su fuerza cuando se apoyan en estos compromisos. Y estos compromisos sobreviven a los cambios de la tecnología.
Solo lo necesario: mínimo privilegio
En las lecciones sobre sistemas operativos vimos cómo se reparten y se retiran los permisos para cada programa y cada usuario. Llevemos esa idea al diseño de la seguridad. Cuando das acceso a alguien, dale solo lo que su tarea necesita de verdad. No hay motivo para dar el poder de modificar a quien solo necesita mirar un momento.
Y cuando la tarea termina, retira ese acceso. Cuanto menos acceso tenga una cuenta, más pequeño será el alcance del daño si la roban o si hay un error. El consejo de usar una cuenta normal en el día a día y sacar los permisos de administrador solo cuando hacen falta viene del mismo principio.
Elige el acceso que darás a una persona. Dar solo lo necesario mantiene pequeño el rango de riesgo; dar demasiado hace grande lo que se puede perder.
Dar solo lo necesario fue lo más limpio. Un acceso excesivo puede parecer cómodo en el día a día, pero en cuanto algo falla, agranda el daño. El mínimo privilegio no se aplica solo a las personas. Se aplica igual a programas y máquinas: esta pieza hace solo este trabajo, este programa ve solo esta carpeta. La valla de los permisos se traza bien ajustada.
Pero por bien que se repartan los permisos, llega el día en que esa capa cae. Por eso hace falta el siguiente principio.
Aunque una falle: defensa en profundidad
Ninguna defensa puede garantizar que nunca caerá. Por eso, en lugar de apostarlo todo a una capa, se superponen varias capas de protección. Si se abre la puerta exterior, queda la interior; si se abre la interior, queda la caja fuerte.
Aunque una capa falle, la de detrás aguanta. Donde antes al atacante le bastaba con romper un punto, ahora tiene que romper todas las capas, y cuantas más hay, más difícil es llegar al final. En esta área vimos lo mismo: un segundo paso de verificación sobre la contraseña, un cortafuegos delante, cifrado en el contenido en tránsito y, en primera línea, los hábitos de una persona que comprueba.
Rompe las capas una a una. Aunque una se abra, la siguiente bloquea, así que llegar al final exige atravesar todas las capas.
Abrir una capa no fue el final: la siguiente volvió a cerrar el paso. Al poner varias capas hay un truco: que cada capa sea de un tipo distinto. Si todas fueran la misma cerradura, la forma de abrir una sería la forma de abrirlas todas.
Por eso, cuanto más variadas son las capas, más firmes resultan. Pero para tener varias capas hace falta una regla clara sobre hasta dónde se deja entrar y desde dónde se bloquea. El punto de partida de esa regla es el siguiente principio.
Bloquear lo desconocido: denegar por defecto
Al diseñar una puerta hay dos puntos de partida posibles. Uno es dejar entrar todo al principio y bloquear solo lo malo; el otro es bloquear todo al principio y dejar entrar solo lo permitido. Como vimos en la lección del cortafuegos, empezar bloqueando es lo más seguro de los dos.
Si empiezas dejando entrar todo, solo puedes bloquear lo malo si lo conoces todo, y una lista así no se puede hacer. Los peligros en los que nunca pensaste entran sin más. Si empiezas bloqueando, solo pasa lo que permitiste con claridad, y lo desconocido queda bloqueado de forma automática. Si no está en la lista, no entra.
Compara los dos puntos de partida. Dejar entrar todo y bloquear solo lo malo deja colarse los peligros desconocidos; bloquear todo y dejar entrar solo lo permitido bloquea lo desconocido de forma automática.
Por el lado de dejar entrar todo se coló en silencio un invitado inesperado, mientras que el lado de bloquear primero detuvo todo lo desconocido. Con el bloqueo como opción por defecto, aunque olvides algo en la lista de permitidos, el diseño se inclina hacia el lado seguro y no hacia el peligroso.
Diseñar para que un error cueste lo menos posible se llama a veces fallar de forma segura, como la puerta de una cámara acorazada que se cierra cuando se avería. Pero añadir mecanismo tras mecanismo para cumplir todos los principios tiende a complicar el diseño cada vez más, y eso se convierte en otro peligro. El último principio mantiene el equilibrio.
Lo complejo abre huecos; lo simple es más seguro
¿Qué pasa si, por cumplir los principios, añades mecanismos sin fin? Cuanto más compleja es una estructura, más huecos ocultos acumula, porque con muchas piezas y conexiones enredadas ya no se ve de un vistazo dónde está la debilidad. En una estructura que nadie puede revisar por completo, justo el punto que no se revisó se convierte en el hueco.
Por eso un buen diseño protege la sencillez. Conserva solo lo que de verdad hace falta y quita lo que se puede eliminar. Como vimos en la lección de cifrado simétrico, un buen cifrado es fiable no porque oculte su método, sino porque su método es público y resiste cuando muchas personas lo examinan. Cuanto más simple y abierto es un diseño, más fácil es examinarlo así.
Añade o quita piezas de la estructura. Cuanto más compleja, más huecos sin revisar aparecen; cuanto más simple, más fácil revisarla de un vistazo.
Al quitar piezas quedaron menos lugares que revisar, y al añadirlas los huecos crecieron en silencio. La sencillez no es pereza: es el resultado de pensar hasta el final qué hace falta de verdad.
Los cuatro principios no funcionan por separado; engranan y giran juntos. El mínimo privilegio estrecha hasta dónde puede extenderse el daño, las capas se respaldan entre sí, el bloqueo es la opción por defecto y todo el conjunto se mantiene simple. Ahora reunamos los cuatro principios.
Resumen
Todo junto, queda así. La buena seguridad no nace de una sola tecnología, sino de unos principios de diseño. El mínimo privilegio consiste en dar solo lo necesario y retirarlo al terminar la tarea. La defensa en profundidad consiste en que, si cae una capa, otra de distinto tipo aguante detrás. Denegar por defecto consiste en bloquear todo salvo lo permitido, y la sencillez consiste en reducir los huecos que nadie revisó.
Los cuatro principios engranan y trabajan juntos, y duran más que cualquier tecnología concreta. Por eso, cuando te encuentres con una tecnología nueva, sopesarla primero con estos principios te mantendrá firme.
Toca los cuatro principios en orden para repasar: mínimo privilegio, defensa en profundidad, denegar por defecto y cuanto más simple, más seguro.
Ahora tienes en la mano los cuatro principios para diseñar la seguridad. Cuando te encuentres con otros temas de seguridad, estos principios te servirán de guía. Basta con preguntar: ¿da solo lo necesario?, ¿es una capa o varias?, ¿deja entrar lo desconocido o lo bloquea?, ¿es simple o complicado sin necesidad?
Pero si llevas los principios hasta el extremo, llega un momento en que resultan incómodos. Cuantas más capas añades, más pesado se vuelve iniciar sesión, y denegar por defecto te obliga a pedir permiso cada vez que haces algo nuevo. En la próxima lección, la última de esta área, veremos cómo sopesar la seguridad frente a la comodidad.