Qué es la seguridad informática

Partir de un camino en el que no se puede confiar

Cuando envías un mensaje por una red, sale de tus manos y pasa por muchos puntos intermedios: routers, equipos de la compañía telefónica, servidores ajenos. No puedes saber si todos son seguros.
En algún punto, alguien podría mirar el contenido, cambiarlo sin que se note o retener el mensaje para que nunca llegue. No hace falta saber cómo funcionan esos ataques. El punto de partida es solo este: no confiar a ciegas en el camino.

Sigue el camino del emisor al receptor y toca cada riesgo por turno. La lectura a escondidas, la alteración y la interceptación pueden ocurrir en el camino.

En el camino podían ocurrir las tres: lectura a escondidas, alteración e interceptación. Si te fijas, cada una rompe algo distinto. Si leen el mensaje, el secreto se filtra; si lo cambian, ya no puedes fiarte de lo que dice; si lo interceptan, lo que debía llegar no llega.
Así que hay más de una cosa que proteger, y la seguridad lo divide en tres metas.

Tres cosas que proteger: confidencialidad, integridad, disponibilidad

Las metas de la seguridad se reducen a tres. La primera es la confidencialidad: solo las personas previstas deben poder leer el contenido, y si alguien lo lee a escondidas, se rompe la confidencialidad. La segunda es la integridad: el contenido no debe cambiar sin permiso, y si cambia aunque sea una letra, se rompe la integridad.
La tercera es la disponibilidad: el servicio debe poder usarse sin obstáculos cuando se necesita, y si un servidor cae o el camino se bloquea, se rompe la disponibilidad. Los ataques que inundan a propósito un servidor con peticiones hasta tumbarlo apuntan justo a la disponibilidad. Con las iniciales de las tres palabras en inglés se forma el nombre CIA.

Toca la confidencialidad, la integridad y la disponibilidad una por una. Cada una muestra qué protege y qué pasa si se rompe.

Vistas por separado, la diferencia es clara. La confidencialidad es no ser leído; la integridad, no ser cambiado; la disponibilidad, poder usarse en cualquier momento. Incluso con el mismo mensaje, las tres pueden romperse por separado: si nadie lo leyó, la confidencialidad se mantuvo, pero si el contenido cambió entretanto, la integridad está rota.
Por eso hay que cuidar las tres metas por separado. Fíjate, eso sí, en que son solo cosas que queremos proteger; todavía no hemos dicho cómo protegerlas. Para proteger una meta hace falta un método.

Un medio: comprobar quién es alguien

Hay muchas formas de proteger estas metas, y la primera que aparece es la autenticación. La autenticación comprueba que el otro lado es de verdad quien dice ser. En un camino desconocido no basta con dar un nombre, porque cualquiera puede dar el nombre de otra persona.
Por eso se pide algo que solo esa persona sabe. Una contraseña es el ejemplo más conocido; los códigos que llegan al móvil, las huellas dactilares y la cara también sirven para confirmar quién eres. Si muestras la correcta, se te acepta como tú; si muestras una equivocada, no te dejan pasar.

De las tres opciones de abajo, elige el secreto que solo tú sabes y cruza la puerta. Con la correcta te aceptan; un nombre cualquiera o la suposición de otro quedan bloqueados.

Mostrar el secreto que solo tú sabes abrió la puerta. Así es como la autenticación distingue quién es alguien. Pero la autenticación es un medio, no una meta. No guarda ningún secreto por sí misma: al filtrar a quien no corresponde, ayuda a proteger metas como la confidencialidad.
Hay muchos medios además de la autenticación: el cifrado, que mezcla el contenido para que otros no puedan leerlo, y el hash, que permite ver si el contenido cambió. Poner metas y medios uno al lado del otro ayuda a distinguirlos.

Metas y medios van en casillas distintas

Separemos las dos cosas con claridad. Una meta es algo que quieres proteger: la confidencialidad, la integridad y la disponibilidad. Un medio es una forma de proteger una meta: la autenticación, el cifrado, el hash.
Hay una razón por la que se confunden a menudo: metas y medios siempre se mencionan en pareja. El cifrado es un medio, pero la meta a la que sirve es la confidencialidad. Clasificar tarjetas en una casilla de metas y otra de medios lo deja claro de un vistazo. Cuando alguien dice que usó cifrado, lo siguiente es preguntar qué meta protege y con qué se protegen las demás.

Toca cada tarjeta para clasificarla en la casilla de metas o en la de medios. La confidencialidad, la integridad y la disponibilidad son lo que hay que proteger; la autenticación y el cifrado son formas de protegerlo.

Con todas las tarjetas clasificadas, queda ordenado: una casilla reúne las metas que proteger y la otra los medios que las protegen. No mezclar las dos cosas es el punto de partida para mirar la seguridad.
Cuando oigas cualquier historia de seguridad, pregunta primero: ¿esto es una meta que proteger o una forma de protegerla? Si confundes un medio con una meta, es fácil perder de vista la meta real, igual que tener una contraseña no garantiza que tus datos no puedan cambiar.

Resumen

En resumen, una red es un camino en el que no se puede confiar. Por eso la seguridad fija tres metas: confidencialidad, integridad y disponibilidad (CIA). Son metas que proteger, no métodos.
Los medios para protegerlas son aparte, y la autenticación, que comprueba quién es alguien, es uno de ellos. Decidir qué proteger y elegir cómo protegerlo: eso es la seguridad.

Toca los puntos clave en orden para repasar. (un camino sin confianza → las metas son confidencialidad, integridad y disponibilidad → un medio es la autenticación → distinguir metas de medios)

Ahora sabes qué pregunta la seguridad: qué proteger y cómo. Estas dos preguntas son el esqueleto de toda la seguridad. Las tres metas volverán una y otra vez, y la autenticación es solo el primero de muchos medios para protegerlas.
La próxima lección trata del hash, que convierte una contraseña en una huella imposible de revertir para que nunca haya que guardar la contraseña tal cual. El hash también sirve para comprobar si un contenido cambió. Cada lección que viene se puede leer con las mismas dos preguntas: qué se protege y cómo.