Las Redes Se Asignan a Grafos
Las Topologías de Red son Grafos Geométricos
Toda red de computadoras tiene una topología: la disposición geométrica de nodos (dispositivos) y aristas (conexiones). La topología determina tolerancia a fallos, ancho de banda y propiedades de seguridad.
Cinco topologías fundamentales:
- Estrella: Un concentrador central, todos los nodos se conectan a él. Simple, económico. Un único punto de fallo: si el concentrador falla, todo falla. N-1 aristas para N nodos.
- Anillo: Los nodos forman un círculo, cada uno conectado a dos vecinos. Un único corte particiona la red. N aristas para N nodos.
- Bus: Todos los nodos comparten un único cable de espina dorsal. Económico pero propenso a colisiones. Un fallo en la espina dorsal derriba todo.
- Malla: Cada nodo se conecta con todos los demás nodos. Redundancia máxima. Una malla completa con N nodos tiene N(N-1)/2 aristas: eso es O(N²) conexiones. Costoso pero altamente tolerante a fallos.
- Árbol: Ramificación jerárquica. N-1 aristas (grafo mínimo conectado). Un fallo en la raíz particiona los subárboles.
Las redes reales son híbridos: un núcleo de malla con capas de acceso de topología de estrella, jerarquías de enrutamiento estructuradas como árbol y redundancia de topología de anillo en uniones críticas.
Topología y Tolerancia a Fallos
Un centro de datos tiene 20 servidores. El equipo de operaciones está debatiendo entre una malla completa y una topología de estrella para la red interna.
Geometría de la Exposición
Superficie de Ataque = Límite Geométrico
En ciberseguridad, la superficie de ataque es el conjunto total de puntos donde un atacante puede interactuar con un sistema. Piénsalo geométricamente: tu sistema es una forma y cada punto en su límite es un punto de entrada potencial.
Componentes de la superficie de ataque:
- Superficie de red: Cada puerto abierto en cada dirección IP pública. Un servidor con 5 puertos abiertos tiene 5 puntos en su límite de red.
- Superficie de aplicación: Cada punto final de API, cada ruta URL, cada entrada de formulario. Una aplicación web con 200 rutas tiene 200 puntos de límite en la capa de aplicación.
- Superficie humana: Cada empleado con credenciales, cada objetivo de phishing. Los ataques de ingeniería social apuntan al perímetro humano.
- Superficie física: Cada puerta de sala de servidores, cada puerto USB, cada toma de red.
El principio geométrico: La seguridad mejora al minimizar el límite entre zonas confiables y no confiables. Un firewall define un límite geométrico: el tráfico adentro es confiable, el tráfico afuera no lo es. Cuantos menos agujeros en ese límite, menor es la superficie de ataque.
Esto explica por qué el principio de privilegio mínimo es geométrico: da a cada componente la exposición de límite mínima que necesita para funcionar.
Reducción de Superficie de Ataque
Una empresa ejecuta una aplicación web con la siguiente exposición: 12 puntos finales de API públicos, SSH abierto en los 50 servidores (puerto 22), una base de datos con IP pública y un panel de administración accesible desde internet.
Grafos de Ataque y Árboles de Amenazas
El Modelado de Amenazas Usa Teoría de Grafos
Los profesionales de seguridad modelan amenazas como grafos dirigidos. La estructura de estos grafos revela caminos de ataque, objetivos de alto valor y prioridades defensivas.
Grafos de ataque: Los nodos representan estados del sistema (o sistemas individuales). Las aristas dirigidas representan transiciones posibles: exploits, movimientos laterales, escaladas de privilegios. Un camino de ataque es un recorrido a través de este grafo desde un nodo externo a un nodo objetivo.
Árboles de ataque: Una estructura de grafo especializada. El nodo raíz es el objetivo del atacante (p. ej., 'robar base de datos'). Los nodos hijos son métodos para lograr el objetivo padre. Las hojas son acciones de ataque concretas. Los nodos AND requieren que todos los hijos tengan éxito; los nodos OR requieren solo uno.
La centralidad de grafo identifica objetivos de alto valor:
- Centralidad de intermediación: Un nodo por el cual pasan muchos caminos más cortos. En una red, este es el punto de estrangulamiento: compromételo y controlas el flujo de tráfico. Un firewall o controlador de dominio a menudo tiene alta centralidad de intermediación.
- Centralidad de grado: Un nodo con muchas conexiones. En un grafo de ataque, un nodo alcanzable desde muchos otros nodos es un objetivo de movimiento lateral de alto valor.
Camino más corto = vector de ataque más probable: Los atacantes optimizan para el menor número de pasos. El camino más corto en un grafo de ataque desde internet a la base de datos es la ruta de ataque más probable. La defensa significa hacer ese camino más corto más largo: agregar nodos (controles de seguridad) que el atacante debe atravesar.
Análisis de Grafo de Ataque
Considera una red con esta estructura: Internet → Servidor Web → Servidor de Aplicaciones → Base de Datos. El Servidor Web también se conecta a un Servidor de Archivos. El Servidor de Aplicaciones se conecta a un Servidor de Copia de Seguridad. El objetivo del atacante es la Base de Datos.
La Criptografía de Curva Elíptica Usa Geometría
Curvas Elípticas: Donde la Geometría Se Convierte en Cifrado
La criptografía de curva elíptica (ECC) es uno de los raros lugares donde la seguridad se construye literalmente sobre operaciones geométricas.
Una curva elíptica es el conjunto de puntos (x, y) que satisfacen: y² = x³ + ax + b (más un especial 'punto en el infinito'). Sobre los números reales, esto parece una curva suave y simétrica.
Suma de puntos: la operación geométrica que hace que criptografía funcione:
1. Toma dos puntos P y Q en la curva.
2. Dibuja una línea recta a través de P y Q.
3. Esa línea interseca la curva en exactamente otro punto R'.
4. Refleja R' a través del eje x para obtener R = P + Q.
Esta operación de 'suma' forma un grupo matemático: es asociativa, tiene un elemento identidad (el punto en el infinito) y cada punto tiene un inverso.
Multiplicación escalar: Agregar un punto P a sí mismo k veces da kP. Ir hacia adelante (computar kP dado k y P) es rápido: operaciones O(log k) usando double-and-add. Ir hacia atrás (encontrar k dado P y kP) es el problema del logaritmo discreto de curva elíptica (ECDLP): se cree que es computacionalmente infactible para curvas grandes.
Esta asimetría es la base de seguridad del TLS moderno. La conexión HTTPS de tu navegador probablemente usa ECDHE (Diffie-Hellman Efímero de Curva Elíptica): ambos lados acuerdan un secreto compartido intercambiando puntos en una curva elíptica y ningún usuario no autorizado puede recuperar el secreto sin resolver ECDLP.
Por Qué la Geometría Hace Buena Criptografía
ECC proporciona la misma seguridad que RSA con tamaños de clave mucho más pequeños. Una clave ECC de 256 bits proporciona aproximadamente la misma seguridad que una clave RSA de 3072 bits.