Mejora la privacidad aplicando nuevos protocolos y migrando infraestructuras al edge

En la actualidad, se exige usar la criptografía para proteger las comunicaciones y mejorar la privacidad. Por ejemplo, el protocolo HTTPS es un paso obligado para cualquier nuevo servicio web; la mensajería directa con cifrado de extremo a extremo basado en internet es una medida de seguridad que empieza a extenderse frente a ataques de espionaje y phishing ejecutados a través de mecanismos convencionales (p. ej., SMS, correo electrónico y llamadas de voz); incluso proyectos de recopilación de datos tan enormes como el censo de los Estados Unidos tratan de aplicar medidas criptográficas para mejorar la privacidad.

La consolidación de la criptografía nos ha permitido valorar cada vez más las sutilidades de la protección de datos. Por ejemplo, ahora sabemos que no solo es importante proteger los datos que transitan entre servidores: también lo es proteger los metadatos. 

Protección de los metadatos

En este aspecto, tengo algo de experiencia. La efervescencia de adoptar masivamente HTTPS nos impidió ver el problema inherente de este protocolo: solo protege el contenido de las transacciones web, no los metadatos que las hacen posibles. El mayor foco de filtración de datos provenía del DNS, sistema que traduce los nombres de host que ves en las URL a direcciones IP a las que poder conectarse.

Las peticiones de DNS convencionales podían ser espiadas, y los atacantes podían sustituir las respuestas reales con las suyas propias. El usuario podía escoger el servidor DNS que creyera conveniente —quizás uno de confianza—, pero los atacantes enrutaban las peticiones de sus intentos de secuestro a cualquier servidor. A pesar de que el modelo de negocio de este ataque se basara en los datos del cliente (en la intermediación de datos), el usuario no notaba la diferencia entre un servidor y otro.

Medidas de seguridad para el tráfico del DNS

Más adelante, participé en la elaboración de la especificación del protocolo DNS mediante HTTPS (o «DoH» según la norma RFC 8484). Esta es ahora una medida de seguridad habitual con la que un cliente protege el tráfico del DNS que gestiona. Los clientes que utilizan DoH tienen la tranquilidad de que sus comunicaciones con un servidor DNS se limitan a ese cliente y a ese servidor. Se trata de una mejora notable con respecto al DNS tradicional, que no contaba con medidas de seguridad. No obstante, en el propio HTTPS sigue habiendo un problema de metadatos en la indicación del nombre del servidor. El IETF está tratando de solventarlo con el mecanismo independiente Encrypted Client Hello.

Sin embargo, a pesar de esas dos avanzadas técnicas, la situación dista mucho de ser la ideal. Las comunicaciones seguras entre dos partes son adecuadas para conversaciones (p. ej., los SMS) en las que ambas partes tienen confianza mutua, pero quizás no la tengan en la red que los conecta. Un servidor DNS no es exactamente lo mismo: el cliente quizás siga sin confiar en la red que lo conecta con el servidor, pero es posible que tampoco confíe totalmente en este. Aunque DoH protege frente a los atacantes de la red, y HTTPS o DNSSec impiden que el servidor proporcione respuestas incorrectas, ninguna especificación de DoH impide que el propio servidor rastree quién realizó qué petición de DNS.

El siguiente paso: Oblivious DNS

Oblivious DNS (u «ODoH») es la siguiente evolución de DNS. La elaboré conjuntamente con otros autores en la norma RFC 9230 (también contribuí a su publicación). ODoH aplica técnicas de ocultamiento de IP a DoH mediante cifrado doble y un único relé para separar el contenido de la petición de DNS de la identidad del cliente. En resumen, el relé le sirve al cliente para ocultarle su dirección IP al servidor DoH. Así, el relé ve solo la identidad, debido al cifrado doble, y el servidor ve solo los datos del DNS, debido a que no tiene comunicación directa con el cliente.

El ocultamiento de IP es una tendencia propia de los sistemas de redes que se centran en la privacidad. ToR la dio a conocer y, más recientemente, el servicio Relay Privado ha hecho uso de ella. En ambos casos, aplicaron el ocultamiento de IP a la capa de transporte (flujos de datos web arbitrarios). Por su parte, ODoH es específico del DNS y funciona en la capa de la aplicación. Los protocolos específicos de una aplicación quizás sean más fáciles de gestionar a escala que los protocolos genéricos de transporte. Así que, desde el punto de vista arquitectónico, es positivo abordar el problema teniendo a mano varias soluciones.

En fase de diseño: Oblivious HTTP

Oblivious HTTP (u «OHTTP») aporta una tercera solución. Aunque no deja de ser una versión preliminar que está pendiente de normalización por el IETF, promete generalizar el uso de ODoH para transportar intercambios HTTP arbitrarios de una forma que oculte al servidor la identidad del cliente y que, al mismo tiempo, oculte el contenido a su paso por los relés. OHTTP requiere cuatro nodos por cada transacción: un cliente, un relé, una puerta de enlace y el servidor. Esto significa que este protocolo preliminar necesita más recursos que ODoH, pero es más flexible en cuanto a los objetivos que podría lograr.

Las plataformas de edge cloud, como Fastly, son claves para crear infraestructuras centradas en la privacidad para las redes modernas. Colaboramos con partners para adaptar nuestra edge cloud a las necesidades de estas aplicaciones de ocultamiento. Nuestra red, que es programable, es básicamente una plataforma de aplicaciones distribuidas que se puede escalar de manera ilimitada. Y que encaja a la perfección en este paradigma: ofrece servicios de CPU, ancho de banda y baja latencia, con disponibilidad en todo el mundo. Y, lo que es mejor, la plataforma de edge cloud ha sido optimizada como plataforma de distribución HTTP, con lo que ya proporciona funciones avanzadas de TLS, enrutamiento y gestión de conexiones, que son los ingredientes esenciales para que tu infraestructura logre un alto rendimiento.

Este artículo forma parte de la serie Privacy Week, en la que explicamos cómo Fastly integra su tecnología y sus prácticas de privacidad en la propia red de internet.