Trustv6: Confianza en la red
05/12/2023
Por Jeffry Handal, Principal SE, Cisco Systems
Introducción
¿Qué tienen en común IPv6, la arquitectura de confianza cero (Zero Trust Architecture o ZTA) y QUIC? ¡Que todos están surgiendo con fuerza en la industria para resolver problemas en 2023! IPv6 era el protocolo de la preocupación y el pesimismo, pero en los últimos años finalmente ha dejado su huella y ahora representa más del 50 % del tráfico global en algunas partes del mundo [1]. La confianza cero está en boca de todo el mercado, lo que nos llevó a reflexionar sobre la seguridad hasta el punto de que se ha convertido en algo que nos preocupa a todos. Y QUIC es ese tráfico misterioso que veíamos aumentar y disminuir en nuestras redes, pero que ahora viene a salvar el día con implementaciones prácticas.
Este artículo primero nos llevará por el camino de los recuerdos. Después hablaremos brevemente de la filosofía de la confianza cero y te obligaremos a pensar en ella desde una nueva perspectiva basada en los principios de abundancia y certeza, con observaciones desde un punto de vista muy práctico.
Por el camino de los recuerdos
Cuando iniciaba mi carrera, el objetivo de la tecnología de la información era garantizar la conectividad básica. La tecnología, los estándares y los servicios disponibles no eran tan robustos como lo son hoy. La seguridad era una inversión de tiempo opcional y, francamente, muchas soluciones disponibles en el mercado no la ofrecían. A medida que la tecnología fue madurando, también lo hicieron los estándares. Hemos pasado a un mundo donde la conectividad es más confiable, a tal punto de que ahora podemos darnos el lujo de pasar a protocolos como QUIC que están basados en UDP. Esto nos ha dejado más tiempo que podemos invertir en otras formas de optimizar nuestras redes, por ejemplo, la seguridad. Sin embargo, no es casualidad que la seguridad haya llegado tan rápidamente a lo más alto de la lista. Luego hablaremos más sobre esto.
En la escuela nos enseñan a resolver un problema utilizando una serie de restricciones y suposiciones. El mundo tal como lo percibimos parece imitar este comportamiento en el sentido de que existen restricciones y que estas no siempre están limitadas por la tecnología sino más bien por lo que nos gusta llamar la “capa 8”, es decir, el elemento humano. El objetivo de este experimento mental es pensar de la manera opuesta. ¿Por qué debemos empezar siempre por las limitaciones y los inhibidores? ¿Qué pasaría si nuestro conjunto de suposiciones de diseño incluyera abundancia en vez de restricciones? Eso desencadenaría la creatividad humana, permitiría descubrir nuevas formas de resolver problemas y nos permitiría pensar de una manera diferente. Esta es precisamente la promesa que ofrece IPv6. Es un recurso con raíces en la abundancia. Como tal, el problema de la confianza cero debería tomar un camino diferente.
Pero ya basta de hablar del pasado. Empecemos a explorar cómo, juntos, IPv6 y la seguridad nos pueden ayudar a crear entornos productivos para las personas a quienes servimos.
Decodificando la arquitectura de confianza cero
Todos hemos oído que la seguridad tiene capas como una cebolla. ¿Alguna vez te has detenido a pensar qué significa esto en términos prácticos? Si no lo has hecho, piensa lo siguiente: se trata de reducir el riesgo y de saber cuáles son las consecuencias en cada capa. Por ejemplo, pensemos en el firewall SD-WAN perimetral como la capa exterior de la cebolla; nos ayuda a mitigar el riesgo del mundo exterior, es decir, de Internet en general. Una capa interna podría ser el firewall del host de nuestro sistema operativo; nos ayuda a limitar el acceso desde Internet en general y el dominio de nuestra red interna.
La confianza cero no es un concepto nuevo y muchos la definen de diferentes maneras. Sin embargo, una cosa debe quedar clara: ¡no es un producto! En pocas palabras, es una forma de pensar. Una forma de pensar que significa que todos (incluidos los usuarios) tenemos la responsabilidad de garantizar un uso eficiente y seguro de los recursos de la empresa para impulsar la productividad.
Otro plan de seguridad al que me gusta hacer referencia es Cisco SAFE, un modelo de seguridad para redes empresariales [2]. Este divide las capas de seguridad en elementos con los que podemos identificarnos fácilmente y adaptar a nuestros propios entornos. El objetivo del modelo es comprender nuestra operación, involucrar a todas las partes interesadas y descubrir las capacidades que tenemos para reducir este riesgo. En el contexto de la confianza cero, es un modelo poderoso que identifica brechas y crea blancos en los que podemos fijar nuestras miras. El objetivo es desarrollar un camino alcanzable hacia un modus operandi de confianza cero.
Trustv6
Internet se creó sobre el principio de conectividad de extremo a extremo. Como ya se ha mencionado, inicialmente nos concentramos en la conectividad. Después, la tecnología maduró y se estabilizó; estableció la expectativa de confiabilidad. A su vez, esto le permitió a la comunidad de Internet cambiar de enfoque y desarrollar nuevos protocolos y principios como el que es objeto de este artículo. La confianza cero promete la capacidad de trabajar de forma segura desde cualquier lugar y en cualquier momento. Sin embargo, si nuestra forma de pensar basada en la confianza cero depende de la prevalencia de IPv4, solo estamos socavando la promesa de la que hablamos anteriormente. ¿Qué sucede con los usuarios de redes solo IPv6? ¿Acaso no pueden acceder?
Las conexiones IPv4 colocan los paquetes en una posición poco deseable, ya que pueden ser manipulados, por ejemplo, durante la función NAT. Peor aún, consideremos el mecanismo CGNAT (Carrier-Grade NAT). ¿Sabes quién está detrás de esas conexiones? Esto hace que sea difícil resolver un problema. Ahora, veamos IPv6. La conectividad IPv6 le abre las puertas a un mundo conectado de extremo a extremo, lo que cambia bastante la ecuación y agrega un nivel de simplicidad. Esto no significa que usemos IPv6 como una identidad, sino para aumentar el nivel de “confianza” en lo que nos llega. Analicemos esto un poco más. Confío más en los paquetes que provienen directamente de la entidad que intenta establecer una conexión con mis aplicaciones que en los que han sido manipulados en nodos intermedios a lo largo del camino (por ejemplo, motores NAT44, servicios de descifrado SSL). Esto no debe confundirse con el establecimiento de confianza. En cambio, consideremos el potencial que tiene esta forma de comunicación directa para reducir el riesgo. En definitiva, el resultado seguro de una arquitectura de confianza cero no es la eliminación del riesgo sino su reducción. IPv6 nos permite avanzar un paso más.
Consejos prácticos
En las secciones anteriores, sentamos las bases para calibrar una nueva forma de pensar. Ahora, convirtamos esto en algo práctico que podamos llevar a nuestras organizaciones. A medida que tu mentalidad cambie hacia un enfoque de confianza cero, considera los siguientes puntos:
Experiencia del usuario: Mientras buscamos la utopía de operaciones seguras y eficientes, no olvidemos a nuestros usuarios y su productividad. Ellos son la razón por la que estamos aquí. No se trata de tener la mejor seguridad ni las herramientas más costosas. Se trata de que el usuario adecuado acceda a los recursos adecuados de forma segura y sin experimentar frustración, a la vez manteniendo la gobernanza de la seguridad de la empresa. Mídela y establece expectativas adecuadas. Encuentra el equilibrio adecuado entre seguridad y desempeño. Y no olvidemos que muchos estudios muestran que IPv6 suele tener un mejor desempeño.
Confía en tu modelo: Hay muchas formas de pensar en la confianza cero, muchos la han definido (por ejemplo, NIST, Gartner, {inserta aquí el nombre de tu empresa favorita}), pero hay que entender que no existe una respuesta correcta. Solo existe la respuesta que tiene sentido para nuestra organización. Debemos adaptar las mejores prácticas y tecnologías de la industria a los hábitos de nuestros usuarios, a las políticas de la empresa y a las herramientas (por ejemplo, aplicaciones) de una manera que tenga sentido. Recuerda, al final del día, se trata de mantener las luces prendidas para que nuestra entidad pueda cumplir su misión. No te aferres a IPv4, a una herramienta de seguridad ni a la vieja escuela de pensamiento. Evoluciona, mantén la curiosidad y aprende algo nuevo. Esto hará que tu trabajo sea más divertido.
El desafío de extremo a extremo: Al igual que en el juego del teléfono descompuesto de nuestra infancia, el mensaje se pierde entre el originador (por ejemplo, el usuario) y su destino final (por ejemplo, la aplicación). La comunidad de Internet ha estado trabajando arduamente para brindarnos más herramientas de extremo a extremo (E2E). Por ejemplo, entre otras cosas, nos ha dado IPv6, Messaging Layer Security (MLS) y QUIC. Depende de nosotros implementar estas “herramientas” para comenzar a transitar el camino hacia el establecimiento de cimientos sólidos para la confianza cero que se basen en las ventajas que nos ofrece E2E. Dicho de una manera más directa: administradores de red, salgan e implementen IPv6 en las redes de su empresa; desarrolladores de aplicaciones, adopten nuevos protocolos como QUIC o MLS para establecer comunicaciones con los usuarios finales. La clave es que no se queden quietos, porque nuestros adversarios no lo hacen.
Seguridad, responsabilidad de todos: La seguridad ya no es opcional ni responsabilidad exclusiva del equipo de seguridad. Ahora todos somos un poco responsables y debemos hacer nuestra parte. Desde el desarrollador de aplicaciones hasta el usuario y desde la comunidad de código abierto hasta los operadores de red, todos debemos asumir un nivel de responsabilidad para desarrollar operaciones seguras y accesibles que tengan en cuenta la experiencia de nuestros usuarios.
El equipo directivo o C-suite: Hace apenas unos años, la seguridad no estaba entre los cinco principales rubros en los que invertían los gerentes de sistemas de información (CIO). Hoy en día, esto ni siquiera se cuestiona [3]. La seguridad es un tema de preocupación para todos. Los recientes acontecimientos alrededor del mundo, entre ellos la guerra en Ucrania [4], el COVID-19 y el teletrabajo, o el aumento del ransomware han mostrado que no estamos preparados para competir cabeza a cabeza con las advertencias. Lo que nos queda por hacer es reducir el riesgo para permitir que las empresas avancen. Por lo tanto, aprovechemos este momento para ayudar a financiar proyectos que ayuden a la organización a adoptar el enfoque moderno sobre la conectividad (es decir, IPv6) y la seguridad (es decir, la mentalidad de confianza cero).
Si bien podemos sentir nostalgia del pasado, es hora de caminar hacia adelante. Hoy en día tenemos en nuestras manos más poder de cómputo que el que tuvo el transbordador espacial. Esto nos permite evolucionar la forma en que trabajamos, vivimos y jugamos. Por lo tanto, no importa dónde esté alojada una aplicación, los principios de confianza cero deberían ser la forma de permitir un acceso adecuado, en el momento adecuado y desde las ubicaciones adecuadas, especialmente cuando se trata de redes solo IPv6, en las que deberíamos confiar más para el mejoramiento de la humanidad. ☺
Referencias
[1] https://www.worldipv6launch.org/measurements/
[2] https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/landing_safe.html