El cifrado oculta los datos; la autenticación nombra al par
El cifrado protege el contenido, la autenticación del par nombra al servidor y la autorización decide qué puede abrir una identidad. Pregunte las tres cosas en un diseño de VPN.
El cifrado sin una comprobación del par puede entregar una conversación confidencial a la parte equivocada. La autenticación sin autorización demuestra quién se unió, pero no qué puede abrir. Son tres controles separados, y una revisión de VPN que solo pregunta por el cifrado responde a uno de ellos. Ordene las preguntas antes de leer cualquier página de ajustes.
Cuatro preguntas antes de llamarlo seguro
Cuatro preguntas enmarcan la revisión: qué pueden leer los observadores, qué servidor responde, quién se une y qué puede usar esa identidad. El cifrado responde la primera, la autenticación del par la segunda, la autenticación de usuario o dispositivo la tercera y la autorización la última. El nombre de un cifrado o un inicio de sesión correcto es una respuesta parcial.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Un diseño que deja una fila sin tratar no se vuelve seguro reforzando otra. Los controles son complementarios, no intercambiables.
La autenticación del par no es un inicio de sesión
El cliente verifica que el servidor sea el que pretendía, mediante certificados configurados, claves públicas u otro mecanismo admitido. Una autoridad de certificación de confianza no convierte cada certificado que emitió alguna vez en el servidor correcto, así que la comprobación de identidad sigue importando. Escribir una contraseña válida en un extremo no verificado no hace que ese extremo sea fiable. La contraseña solo demuestra que estaba dispuesto a autenticarse ante quien respondiera.
WireGuard muestra la misma idea con otros muebles: una clave de par configurada realiza una comprobación de identidad sin un aviso de certificado al estilo del navegador. Un secreto compartido que conocen muchos usuarios identifica más al grupo que a una persona, por eso una credencial única de dispositivo suele llevar una identidad más fuerte.
El cifrado autenticado es un término criptográfico
El cifrado autenticado significa que el cifrado protege la confidencialidad y detecta cambios no autorizados. No significa que una persona haya iniciado sesión, ni decide qué archivos puede abrir una cuenta. El nombre de una suite de cifrado describe una construcción, no una relación entre dos partes. La integridad de los paquetes, la identidad del par y los permisos de la cuenta son requisitos relacionados con pruebas separadas.
El perfil de confianza RFC 5280 es la referencia para las rutas de certificados y las comprobaciones de identidad cuando el despliegue usa X.509. Leerlo es más útil que tratar la palabra autenticado como sinónimo de seguro.
Lea el fallo antes de debilitar un control
Un certificado caducado, un reloj del sistema incorrecto y una identidad de servidor inesperada tienen cada uno su corrección. Una cuenta rechazada tiene otra. Si el servidor cambió legítimamente, obtenga el material de confianza actualizado del operador verificado. Quitar la comprobación de identidad para que el túnel se conecte cambia un fallo visible por uno invisible.
Proteja las credenciales de las que depende el túnel. Un perfil puede contener una clave privada, y una contraseña guardada puede conceder acceso remoto. Cuando una se filtre, use el proceso de gestión de la cuenta o de las claves del servicio, porque elegir otro país en el directorio del cliente no revoca la identidad anterior.