Cifrado en Tránsito: La Protección de Google

En la era digital, donde la información fluye constantemente a través de redes globales, la seguridad de los datos se convierte en una preocupación primordial. Para aquellos que confían en servicios en la nube, entender cómo se protege su información en cada etapa es fundamental. Este artículo, el tercero de una serie sobre el uso de la encriptación por parte de Google, se centra específicamente en un aspecto crítico: el cifrado en tránsito, detallando las prácticas implementadas en Google Cloud y Google Workspace para salvaguardar tus datos mientras se mueven.

En Google, la seguridad no es una opción, es una prioridad intrínseca en el diseño y operación de nuestros productos. Nos esforzamos por proteger los datos de nuestros clientes y ser lo más transparentes posible sobre los métodos que utilizamos para lograrlo. La información presentada aquí refleja el estado de nuestras políticas y sistemas de seguridad a septiembre de 2022, conscientes de que la mejora continua es clave en este campo dinámico.

¿Qué es el Cifrado en Tránsito?

El cifrado en tránsito es un mecanismo de seguridad diseñado para proteger los datos mientras se transfieren de un punto a otro a través de una red. Su objetivo principal es asegurar que, incluso si las comunicaciones son interceptadas, los datos permanezcan ilegibles para partes no autorizadas. Esto se logra convirtiendo los datos legibles (texto simple) en datos ilegibles (texto cifrado) mediante algoritmos y una clave secreta.

La encriptación en tránsito es uno de los tres estados en los que se pueden proteger los datos:

• Encriptación en reposo: Protege los datos mientras están almacenados (en discos, bases de datos, etc.).
• Encriptación en tránsito: Protege los datos mientras se mueven entre sistemas o ubicaciones.
• Encriptación en uso: Protege los datos mientras están siendo procesados en la memoria.

Al aplicar encriptación en tránsito, se consigue:

• Eliminar la necesidad de confiar en las capas inferiores de la red, que a menudo son gestionadas por terceros.
• Reducir la superficie de exposición a posibles ataques.
• Impedir que los atacantes accedan a los datos si logran interceptar las comunicaciones.

Junto con la encriptación, otras dos medidas de seguridad son esenciales para la protección de datos en tránsito: la autenticación (verificar la identidad de las partes que se comunican) y la integridad (asegurar que los datos no han sido modificados durante la transmisión).

La Infraestructura de Red de Google y el Enrutamiento del Tráfico

Para comprender el enfoque de Google sobre el cifrado en tránsito, es crucial conocer cómo se estructura su infraestructura de red y cómo se enruta el tráfico.

Límites Físicos Controlados por Google

Google define "límites físicos" como barreras dentro de espacios físicos controlados directamente por la compañía o en su nombre. Dentro de estos límites, se aplican estrictas medidas de seguridad física y el acceso al hardware está altamente restringido y supervisado. Dentro de estos límites, los datos en tránsito generalmente se autentican, pero no siempre se encriptan por defecto, ya que el entorno se considera de alta confianza.

Sin embargo, debido a la naturaleza global de Internet y las redes de área amplia (WAN), no es posible aplicar los mismos controles físicos fuera de estos límites. Por ello, Google aplica automáticamente protecciones adicionales, incluida la encriptación de datos, para todo el tráfico que sale de sus límites de confianza física.

Cómo se Enruta el Tráfico y sus Protecciones Predeterminadas

El tráfico hacia y dentro de Google Cloud puede seguir diferentes rutas. Google aplica protecciones predeterminadas según el tipo de conexión:

• Usuario final (Internet) a un servicio de Google Cloud: Las solicitudes pasan por el Google Front End (GFE), un sistema global que finaliza conexiones TLS/HTTP(S)/TCP, mitiga ataques DDoS y enruta el tráfico. La conexión entre el usuario y el GFE se asegura mediante TLS o QUIC. Si el tráfico del GFE al servicio de Google Cloud sale de un límite físico, se autentica y encripta.
• Usuario final (Internet) a una aplicación de cliente alojada en Google Cloud: La ruta depende de la configuración del cliente. Si se utilizan balanceadores de carga de Google Cloud (como el balanceador de cargas de aplicaciones externo o el balanceador de cargas de red de proxy externo con proxy SSL), la conexión del usuario al GFE está protegida por TLS. El tráfico del GFE a la VM del cliente se protege mediante la encriptación de redes virtuales de Google Cloud si sale de un límite físico.
• Entre máquinas virtuales (VM a VM): Las conexiones de VM a VM dentro de la misma red de VPC o redes de VPC con intercambio de tráfico *dentro* de la red de producción de Google se autentican y encriptan por defecto utilizando AES-128-GCM y ALTS/tokens de seguridad. Es importante notar que las conexiones de VM a VM que usan direcciones IP *externas* no se encriptan por defecto por Google.
• Conectividad a los servicios y las API de Google: Las VMs que se conectan a servicios o APIs de Google (como Cloud Storage o APIs de Machine Learning) a través de IPs externas envían tráfico que pasa por Internet. Por defecto, Google Cloud admite la protección TLS desde la VM hasta el GFE. La conexión del GFE al servicio se autentica y encripta si sale de un límite físico. Los clientes pueden añadir encriptación de sobre. El Acceso Privado a Google permite a las VMs sin IPs externas acceder a servicios de Google usando IPs internas, y este tráfico permanece dentro de la red de Google.
• Entre servicios de Google Cloud (Servicio a Servicio): El enrutamiento entre servicios de producción se realiza en la red interna de Google. Si el tráfico sale de un límite físico controlado por Google, se encripta. Las conexiones entre servicios se autentican dentro de los límites físicos.

Métodos de Encriptación Predeterminados de Google

Google emplea una variedad de métodos de encriptación, adaptados a la capa de red (OSI), el tipo de servicio y la ubicación física.

Del Usuario al Google Front End (TLS, BoringSSL, CA)

La comunicación entre un usuario y el GFE, que maneja una gran parte del tráfico entrante, se asegura principalmente mediante TLS o QUIC. Esto garantiza la autenticación, integridad y encriptación de las solicitudes.

• Seguridad de la Capa de Transporte (TLS): Es el protocolo estándar para asegurar comunicaciones web (HTTPS). Google es pionero en la adopción y fortalecimiento de TLS, habilitando características como la confidencialidad directa (Forward Secrecy) desde 2011 para evitar que el compromiso de una clave comprometa sesiones pasadas.
• BoringSSL: Google mantiene su propia implementación de código abierto del protocolo TLS, derivada de OpenSSL. BoringSSL, y específicamente su núcleo BoringCrypto, cuenta con la validación FIPS 140-2 de Nivel 1, un estándar de seguridad gubernamental. La Tabla 1 muestra los protocolos y algoritmos compatibles con el GFE.

Nota: Aunque TLS 1.1 y 1.0 son compatibles, se recomiendan TLS 1.3 y 1.2 por ser más seguros.

• Autoridad Certificada de Google: Para establecer una conexión TLS, el servidor debe presentar un certificado X.509 que pruebe su identidad. Google ha operado su propia CA emisora y está en transición hacia el uso de sus propias CA raíz para firmar certificados. La creación de claves de CA raíz implica ceremonias de seguridad física altamente controladas. Los certificados de servidor intermedios y de hoja tienen ciclos de vida cortos (rotados cada ~2 semanas, válidos por ~3 meses) para mitigar riesgos de compromiso de claves. Las claves de ticket de sesión TLS se rotan diariamente.

Del GFE a Frontends de Aplicaciones y Entre Servicios (ALTS)

Para las comunicaciones internas entre servicios de Google o del GFE a los frontends de aplicaciones dentro de la infraestructura de Google, se utiliza la Seguridad de Transporte de la Capa de Aplicación (ALTS).

• Protocolo ALTS: ALTS opera en la capa de aplicación (capa 7) y proporciona autenticación, integridad y encriptación para llamadas RPC. Utiliza identidades de cuenta de servicio para la autenticación, verificadas por una CA interna de Google. Dentro de los límites físicos, ALTS garantiza autenticación e integridad. Fuera de estos límites (WAN), aplica automáticamente encriptación para garantizar también la privacidad.
• Protocolo de Handshake de ALTS: Similar a TLS mutuo, ALTS usa un handshake de curva elíptica de Diffie-Hellman (ECDH) para que el cliente y el servidor se autentiquen mutuamente y negocien una clave de tráfico común antes de intercambiar datos.
• Certificados ALTS: ALTS utiliza diferentes tipos de certificados internos (de máquina, de usuario, de trabajos Borg) que se rotan con alta frecuencia (horas a días). La CA interna de Google no está relacionada con su CA externa pública.
• Encriptación en ALTS: La encriptación se implementa a través de BoringSSL y otras bibliotecas. El algoritmo más común es AES-128-GCM.

Encriptación y Autenticación de Redes Virtuales de Google Cloud (VM a VM)

La encriptación del tráfico de IP privada dentro de la misma VPC o VPCs interconectadas dentro de la red virtual de Google Cloud se realiza en la capa de red (capa 3).

• Encriptación: Se utiliza AES-128-GCM. Cada par de hosts (VMs) establece una clave de sesión mediante un canal de control protegido por ALTS. Estas claves de sesión se rotan regularmente.
• Autenticación: Todo el tráfico entre VMs se autentica mediante tokens de seguridad encapsulados en un encabezado de túnel. Estos tokens, derivados de secretos de host y secretos de límite físico, impiden la falsificación de paquetes en la red. Los secretos de límite físico se negocian y renegocian periódicamente.

Encriptación de Máquina Virtual a Google Front End

El tráfico de una VM a un GFE (usando IPs externas para acceder a servicios de Google) se maneja de manera similar a cualquier conexión externa. Por defecto, se admite TLS desde la VM hasta el GFE.

Uso de PSP

El protocolo de seguridad de PSP (PSP Security Protocol) se utiliza para encriptar datos en tránsito a través de la red interna de Google, especialmente dentro y entre centros de datos. Es independiente del transporte, soporta protocolos no TCP (como UDP) y permite la descarga de encriptación en hardware especializado (SmartNICs).

Opciones de Encriptación Configurables por el Usuario

Además de las protecciones predeterminadas, los clientes de Google Cloud tienen opciones para configurar seguridad adicional:

• Conectividad a Centros de Datos Propios: Se pueden usar túneles IPSec para asegurar la conexión entre la red local y Google Cloud.
• Conectividad de Usuarios a Aplicaciones en Google Cloud: Configurar certificados SSL propios, usar certificados gratuitos y automatizados de Google (Firebase Hosting, App Engine), implementar HSTS.
• Cargas de Trabajo en GKE y Compute Engine: Utilizar mTLS (TLS mutuo) a través de mallas de servicios como GKE Enterprise para asegurar comunicaciones TCP entre servicios.
• Google Workspace (Gmail): Configurar S/MIME para correos salientes, políticas de cumplimiento y reglas de enrutamiento seguro.

Innovación y Contribuciones de Google

Google participa activamente en iniciativas para promover y mejorar el cifrado en tránsito en Internet en general:

• Certificado de Transparencia (CT): Un esfuerzo de código abierto para detectar certificados SSL/TLS emitidos incorrectamente o sin autorización.
• Informe de Transparencia HTTPS: Seguimiento del progreso hacia el objetivo de encriptación del 100% en tránsito en todas las propiedades de Google.
• Desarrollo Criptográfico: Investigación y desarrollo en áreas como criptografía poscuántica (por ejemplo, CECPQ2) y Key Transparency.

Preguntas Frecuentes

¿Qué es el cifrado de clave?

Una clave es un grupo de caracteres aleatorios en un orden determinado. Los protocolos de cifrado utilizan una clave para alterar los datos, de modo que queden codificados y cualquiera que no tenga la clave correcta no pueda decodificarlos.

¿Qué significa cifrado de transmisión?

El término "cifrado de transmisión" puede referirse al cifrado en tránsito, que protege los datos mientras se mueven entre puntos de la red (como cliente y servidor). Sin embargo, a menudo se confunde o compara con el cifrado de extremo a extremo (E2EE). El E2EE es un método más estricto que cifra los datos en el dispositivo del remitente y solo los descifra en el dispositivo del destinatario final, asegurando que ni siquiera los proveedores de servicios intermedios puedan acceder a los datos sin cifrar. El cifrado en tránsito estándar protege los datos entre endpoints de red (como un navegador y un servidor web), pero los datos pueden ser accesibles sin cifrar en los propios endpoints (el servidor web, por ejemplo). El E2EE se considera más privado, mientras que el cifrado en tránsito puede ser más eficiente.

¿Qué tipo de cifrado se debe usar para datos en tránsito?

La elección del tipo de cifrado y, fundamentalmente, la gestión de las claves, depende de los requisitos de seguridad. En entornos de nube (SaaS), la gestión de claves puede ser responsabilidad del cliente (claves gestionadas por el cliente) o del proveedor (claves gestionadas por el proveedor). Para minimizar el riesgo de compromiso, es esencial rotar las claves regularmente. La gestión de claves por parte del proveedor puede limitar las opciones de recuperación de datos del cliente si las claves se pierden o comprometen por parte del proveedor.

Conclusión

La protección de los datos en movimiento es un pilar fundamental de la seguridad en la nube. Google implementa un enfoque de defensa en profundidad, utilizando una combinación de protocolos estándar de la industria como TLS y QUIC, así como tecnologías propias innovadoras como ALTS y PSP. Estas medidas, aplicadas de forma predeterminada para proteger el tráfico que sale de los límites físicos de Google y complementadas con opciones configurables por el cliente, demuestran un compromiso continuo con la seguridad y la privacidad de los datos en tránsito. La inversión en investigación criptográfica y la contribución a proyectos de código abierto refuerzan el liderazgo de Google en la protección de la información a gran escala.

Si quieres conocer otros artículos parecidos a Cifrado en Tránsito: La Protección de Google puedes visitar la categoría Automóviles.