La seguridad a través de la oscuridad (o seguridad por oscuridad ) es la confianza en el secreto como método principal para proporcionar seguridad a un sistema o componente, específicamente en ingeniería de seguridad , ya sea en el diseño o la implementación.
Uno de los primeros oponentes a la seguridad a través de la oscuridad fue el cerrajero Alfred Charles Hobbs , quien en 1851 demostró al público cómo se podían abrir cerraduras con la última tecnología. En respuesta a las preocupaciones de que exponer fallas de seguridad en el diseño de las cerraduras podría hacerlas más vulnerables a los delincuentes, dijo: "Los pícaros son muy entusiastas en su profesión y ya saben mucho más de lo que podemos enseñarles". [1]
Existe escasa literatura formal sobre el tema de la seguridad a través de la oscuridad. Los libros sobre ingeniería de seguridad citan la doctrina de Kerckhoffs de 1883, si es que citan algo. Por ejemplo, en una discusión sobre el secreto y la apertura en el Comando y Control Nuclear:
[L]os beneficios de reducir la probabilidad de una guerra accidental se consideraban mayores que los posibles beneficios del secreto. Se trata de una reencarnación moderna de la doctrina de Kerckhoff , propuesta por primera vez en el siglo XIX, de que la seguridad de un sistema debería depender de su clave, no de que su diseño permanezca oscuro. [2]
Peter Swire ha escrito sobre el equilibrio entre la noción de que "la seguridad a través de la oscuridad es una ilusión" y la noción militar de que " los labios flojos hunden los barcos ", [3] así como sobre cómo la competencia afecta los incentivos para revelar información. [4] [ se necesita más explicación ]
Hay historias contradictorias sobre el origen de este término. Los fanáticos del Sistema de Tiempo Compartido Incompatible (ITS) del MIT dicen que fue acuñado en oposición a los usuarios de Multics , para quienes la seguridad era mucho más un problema que en ITS. Dentro de la cultura ITS, el término se refería, en tono de burla, a la escasa cobertura de la documentación y a la oscuridad de muchas órdenes, y a la actitud de que, cuando un turista descubría cómo causar problemas, generalmente ya había superado la necesidad de hacerlo, porque se sentía parte de la comunidad. Se ha observado un caso de seguridad deliberada a través de oscuridad en ITS: el comando para permitir parchear el sistema ITS en ejecución (altmode altmode control-R) se hizo eco como . Al escribir Alt Alt Control-D se establecía una bandera que impediría parchear el sistema incluso si el usuario luego lo hacía bien. [5]$$^D
En enero de 2020, NPR informó que funcionarios del partido demócrata en Iowa se negaron a compartir información sobre la seguridad de su aplicación de caucus , para "asegurarnos de que no estamos transmitiendo información que podría usarse en nuestra contra". Los expertos en ciberseguridad respondieron que "ocultar los detalles técnicos de su aplicación no ayuda mucho a proteger el sistema". [6]
Los organismos de normalización desaconsejan y no recomiendan la seguridad únicamente mediante oscuridad. El Instituto Nacional de Estándares y Tecnología (NIST) de Estados Unidos desaconseja esta práctica: "La seguridad del sistema no debe depender del secreto de la implementación o de sus componentes". [7] El proyecto de enumeración de debilidades comunes enumera "Confianza en la seguridad a través de la oscuridad" como CWE-656. [8]
Una gran cantidad de criptosistemas de gestión de derechos digitales y telecomunicaciones utilizan la seguridad a través de la oscuridad, pero finalmente se han roto. Estos incluyen componentes de GSM , cifrado GMR , cifrado GPRS , una serie de esquemas de cifrado RFID y, más recientemente, Terrestrial Trunked Radio (TETRA). [9]
Uno de los mayores defensores de la seguridad a través de la oscuridad que se ve comúnmente en la actualidad es el software antimalware. Sin embargo, lo que normalmente ocurre con este único punto de falla es una carrera armamentista en la que los atacantes encuentran nuevas formas de evitar la detección y los defensores crean firmas cada vez más artificiales pero secretas para señalar. [10]
La técnica contrasta con la seguridad por diseño y la seguridad abierta , aunque muchos proyectos del mundo real incluyen elementos de todas las estrategias.
El conocimiento de cómo está construido el sistema difiere del ocultamiento y el camuflaje . La eficacia de la oscuridad en la seguridad de las operaciones depende de si la oscuridad se suma a otras buenas prácticas de seguridad o si se utiliza sola. [11] Cuando se utiliza como capa independiente, la oscuridad se considera una herramienta de seguridad válida. [12]
En los últimos años, versiones más avanzadas de "seguridad a través de la oscuridad" han ganado apoyo como metodología en ciberseguridad a través de Moving Target Defense y el ciberengaño . [13] El marco de resiliencia cibernética del NIST, 800-160 Volumen 2, recomienda el uso de la seguridad a través de la oscuridad como parte complementaria de un entorno informático resistente y seguro. [14]
{{cite journal}}: |first1=tiene nombre genérico ( ayuda )