cómo Qué es la seguridad informática

Partir de un mundo en el que no se puede confiar

Cuando envías un mensaje en una red,
sale de tu mano
y pasa por muchos caminos intermedios.
No puedes saber si todos son seguros.
En algún punto, alguien podría mirar en silencio,
podría deslizar un cambio en el contenido,
o podría interceptarlo en el camino.
Con solo saber que esos riesgos existen basta.
No necesitas saber cómo se hacen.
Lo que importa es la idea: nunca confíes a ciegas en el camino.

Sigue el camino del mensaje del emisor al receptor. Haz clic para reconocer qué riesgos pueden existir en el trayecto.

Las tres podían pasar en el camino:
lectura secreta, alteración del contenido, intercepción.
Pero mira de cerca estos riesgos y
cada uno rompe algo distinto.
Si se lee, el secreto se filtra;
si se cambia, no puedes confiar en el contenido;
si se intercepta, lo que debía llegar nunca llega.
Así que hay más de una cosa que proteger.
La seguridad divide esto con orden en tres metas.

Tres a proteger: confidencialidad, integridad, disponibilidad

Las metas de la seguridad se juntan en tres.
Primera, confidencialidad.
Solo la persona prevista puede leerlo.
Si alguien lo lee en secreto, se rompe la confidencialidad.
Segunda, integridad.
El contenido sigue sin cambios en el camino.
Si difiere aunque sea una letra, se rompe la integridad.
Tercera, disponibilidad.
Se puede usar sin obstáculos cuando se necesita.
Si se bloquea su uso, se rompe la disponibilidad.
Tomamos las primeras letras y lo llamamos CIA.

Toca las tres metas una por una: confidencialidad, integridad, disponibilidad. Mira qué protege cada una y qué pasa si se rompe.

Ver las tres por separado lo aclara.
Confidencialidad es no-leido, integridad es no-cambiado, disponibilidad es siempre-usable.
Aun para el mismo mensaje, las tres difieren.
Si solo no se leyó, la confidencialidad se sostuvo,
pero si el contenido cambió mientras tanto, la integridad se rompió.
Así que hay que cuidar las tres metas por separado.
Aquí, sin embargo, una cosa se confunde fácil.
Las tres son cosas que queremos proteger;
aún no hemos dicho cómo protegerlas.
Para proteger una meta, hace falta un método.

Un medio: comprobar quién es alguien

Hay muchas maneras de proteger una meta.
La primera que encuentras es la autenticación.
La autenticación comprueba que el otro lado de verdad es quien dice ser.
En un mundo extraño, una etiqueta de nombre no basta,
porque cualquiera puede decir el nombre de otro.
Así que le pedimos que muestre algo que solo él sabe.
Una contraseña es el ejemplo más conocido.
Muestra la correcta y se te acepta como tú mismo;
muestra la equivocada y no entras.
Así se decide quién es alguien, justo en la puerta.

Elige el secreto que solo tú sabes y pasa la puerta. Si aciertas, se te acepta como tú mismo; si no, te quedas fuera.

Mostrar el secreto correcto te dejó pasar.
La autenticación decide quién es alguien.
Pero la autenticación es un medio, no una meta.
La autenticación en sí no guarda un secreto;
solo filtra a la persona equivocada
y ayuda a proteger metas como la confidencialidad.
Hay muchos medios además de la autenticación:
el cifrado que revuelve el contenido para que otros no lo lean,
una verificación que dice si algo cambió, y más.
Así que conviene poner metas y medios lado a lado.

Metas y medios son casillas distintas

Ahora separa las dos con claridad.
Una meta es lo que quieres proteger.
Confidencialidad, integridad, disponibilidad son las metas.
Un medio es el método que protege esa meta.
Autenticación, cifrado, verificaciones de integridad son medios.
Hay una razón de que se confundan a menudo:
el nombre de un medio puede parecerse a una meta.
Por ejemplo, el cifrado es un medio,
pero su meta es proteger la confidencialidad.
Repartir tarjetas en una casilla de metas y otra de medios lo aclara de un vistazo.

Toca cada tarjeta para clasificarla en la casilla de metas o la de medios. CIA es qué proteger, autenticación y cifrado son el cómo.

Con las tarjetas clasificadas, queda ordenado.
La casilla izquierda juntó las metas a proteger,
la derecha juntó los medios que protegen.
No mezclar las dos es el ojo para la seguridad.
Sea cual sea la historia de seguridad que oigas,
solo pregunta primero:
esto es una meta a proteger, o una manera de proteger?
Si la meta se tambalea, qué proteger se vuelve borroso;
confunde un medio con una meta y pierdes la meta real.
Ahora resumamos todo.

Resumamos

Reunido en una línea, es esto.
El mundo de la red es un camino en el que no se puede confiar.
Por eso la seguridad fija tres metas:
confidencialidad, integridad, disponibilidad. CIA para abreviar.
Estas son metas a proteger, no métodos.
Los medios que las protegen van aparte.
Uno de ellos es la autenticación, comprobar quién es alguien.
No confundir metas con medios es el primer paso.
Decidir qué proteger en un mundo sin confianza, y elegir cómo protegerlo. Eso es la seguridad.

Toca los puntos clave en orden para repasar. (mundo sin confianza -> metas CIA -> medios autenticación -> metas vs medios)

Ahora sabes qué pregunta la seguridad.
Qué proteger, y cómo protegerlo.
Estas dos preguntas son el esqueleto de toda seguridad.
Las tres metas de CIA volverán una y otra vez.
La autenticación es solo el primer medio para protegerlas;
más medios, como el cifrado, están esperando.
La próxima, cómo el cifrado,
que revuelve un mensaje para que otros no lo lean,
protege la confidencialidad?
Sigamos explorando juntos.