Afirmaciones sobre el cifrado VPN: qué debe decir la documentación

Mire el número grande junto al nombre de un algoritmo y pregúntese qué mide en realidad. No le dice qué conexión está protegida, qué protocolo aporta la protección ni qué ajustes admite su cliente. Una página que no puede vincular su afirmación a uno de esos puntos es publicidad y no documentación. Las comprobaciones siguientes son un orden de lectura para cualquier resumen que le hayan entregado, y la primera afirmación que no pueda vincular a una conexión concreta es donde debe detenerse.

Determine qué conexión cubre la afirmación

Una sola página de producto puede tratar el cifrado del túnel, el HTTPS al portal de la cuenta y el cifrado de los datos almacenados en un mismo párrafo. Son caminos distintos y sistemas de almacenamiento distintos, así que una propiedad de uno no dice nada de los otros. Decida de cuál de los tres habla la frase antes de compararla con un competidor. La misma palabra, cifrado, aparece en los tres contextos y significa algo diferente cada vez.

Para el túnel en sí, busque un protocolo documentado y un conjunto documentado de ajustes de seguridad admitidos. Esas tres etiquetas no son intercambiables: un conjunto predeterminado llega sin que usted lo elija, un modo opcional solo se aplica si el perfil lo selecciona, y un resultado negociado es lo que ambos extremos acordaron al conectar. Un proveedor que los difumina le ha dicho menos de lo que parece.

Compruebe el protocolo y el conjunto que permite

Parta del perfil del cliente y no de un gráfico comparativo. El perfil nombra el protocolo, y el protocolo decide qué conjuntos son siquiera posibles, como muestran los dos casos habituales.

La lista de propuestas de IKEv2 es un menú del que elige la pasarela, así que el conjunto que obtiene puede diferir entre dos pasarelas con ajustes de cliente idénticos. WireGuard no tiene ese menú, lo que hace su afirmación más fácil de verificar y más estrecha de describir. Ninguna de las dos disposiciones es más fuerte por sí misma; la cuestión es que la documentación debe decir cuál quiere decir.

El nombre de un cifrado por sí solo también deja fuera la autenticación, el establecimiento de claves, la exposición de metadatos y la retención. Las construcciones modernas combinan cifrado e integridad en un solo conjunto, mientras que las antiguas los separan, así que citar un solo nombre de algoritmo puede ocultar qué propiedad obtiene realmente. Pida por escrito la política de negociación cuando la página no la indique.

Compruebe la autenticación del par y el estado de actualización

La autenticación del par pertenece a la afirmación aunque el texto de marketing la omita. Un cifrado fuerte hacia un destinatario no verificado no es el resultado que nadie pretendía, y un túnel que no puede decirle quién respondió protege menos de lo que parece. Fíjese en cómo valida el cliente al servidor: una cadena de certificados, una clave fijada o un secreto compartido de antemano. Son modelos de confianza distintos con modos de fallo distintos.

Después compruebe la implementación y su estado de actualización, porque un cifrado documentado en un cliente sin parches describe una versión que quizá no ejecute. Las limitaciones publicadas por los autores del protocolo merecen lectura por el mismo motivo. Un cliente que no se ha actualizado en un año hace una afirmación distinta de la página que tiene delante.

Compruebe dónde termina el túnel

Un túnel de cliente a servidor termina en el servidor VPN. El cifrado de aplicación, como el HTTPS al servicio que hay detrás, puede proteger el tráfico más adelante en la ruta, y después del servidor puede ser la única protección que quede. Lea la explicación del operador sobre los extremos y decida a cuál de esas capas se refiere la afirmación.

La política de registros y el seguimiento de la cuenta quedan por completo fuera del cifrado. Un operador puede transportar contenido cifrado mientras observa tiempos, direcciones y volumen, así que una afirmación sobre la confidencialidad de la carga útil no responde nada sobre lo que se registra. Trate la retención como una cuestión aparte con sus propias pruebas.

Anote lo que la documentación no dice

Cuando falta una propiedad, anote que falta en lugar de inferirla del nombre o la reputación del software. Una auditoría solo cubre las propiedades y componentes que examinó de verdad, y un hueco en la documentación es un hallazgo por sí mismo. Escriba el hueco mientras aún recuerda qué página lo produjo.

En una máquina que controle, lea el conjunto de la sesión activa, con la página de estado del cliente o la lista de asociaciones de seguridad de la pasarela, y anote ese valor junto a la versión del cliente. Ese registro convierte una afirmación del proveedor en algo comparable más adelante, cuando una actualización cambie el resultado negociado. Si el cliente y la documentación no coinciden, confíe en el resultado negociado y notifique la discrepancia en lugar de conciliarla en silencio.