seguridad básica
18 artículos con esta etiqueta
Qué es la criptografía de clave pública — cifrar y firmar con un par de claves
La criptografía de clave pública usa una 'clave pública' (segura de repartir) y una 'clave privada' (que solo posee el titular). Todo lo cifrado con la clave pública solo puede descifrarse con la clave privada correspondiente, y una firma hecha con la clave privada se verifica con la clave pública. Esa asimetría sustenta el intercambio de claves de TLS (HTTPS), las firmas digitales y las passkeys. Defensas: no inventes tu propia criptografía (usa protocolos estándar y bibliotecas probadas), protege la clave privada y ten la capacidad de revocarla, y mantén la longitud de clave y los algoritmos al día.
Qué es el OWASP Top 10 — la lista estándar de los 10 mayores riesgos de las aplicaciones web
El OWASP Top 10 es una lista que la organización sin ánimo de lucro OWASP publica cada pocos años con los 'riesgos más críticos de las aplicaciones web'. Es un lenguaje común para desarrolladores y responsables de operación. La edición actual (2021) la encabeza el control de acceso roto, seguido de la inyección, la configuración incorrecta, los componentes vulnerables y obsoletos, los fallos de autenticación y más. Son CATEGORÍAS de riesgo, no exploits individuales — úsalas como lente para auditar tu propia aplicación.
Qué es el RGPD (GDPR) — las normas de protección de datos de la UE y el deber de notificar filtraciones
El GDPR (General Data Protection Regulation) es el marco integral de la UE para proteger los datos personales de las personas en la UE — y puede alcanzar a negocios fuera de la UE que dan servicio a usuarios de la UE. Exige una base legal (p. ej. consentimiento), un fin claro, minimización de datos, derechos del interesado (acceso/supresión) y notificación de filtraciones a la autoridad (por lo general en 72 horas), con multas cuantiosas por infracciones graves. La esencia técnica: recopilar y guardar solo los datos personales que necesitas, protegerlos y poder detectar y notificar una filtración con rapidez.
¿Añadiste un inicio de sesión y lo llamaste seguro? — autenticación frente a autorización
Autenticación = verificar quién es alguien; autorización = decidir qué puede hacer. Son cosas distintas, y añadir un inicio de sesión no es autorización. Sin acotar los datos al propietario (user_id), 'con sesión iniciada = ve todos los datos' — el Broken Access Control número uno de OWASP. Añade encima un scaffold con registro abierto y un desconocido puede darse de alta y entrar. Defensas: acota cada consulta al propietario, cierra el registro que no necesites, defensa en profundidad, registros de auditoría/acceso antes de un incidente, detecta nuevas altas.
¿Cómo guarda la gente sus contraseñas? Lo que dicen los datos — y la forma segura
Encuestas representativas muestran que ~54% confía en la memoria, ~33% escribe las contraseñas en papel y solo ~36% usa un gestor de contraseñas dedicado — con ~25% reutilizando contraseñas. Mientras tanto, el DBIR de Verizon halló que el compromiso de credenciales estuvo presente en ~38% de las brechas y que ~74% de las contraseñas en datos de brechas estaban reutilizadas. En resumen: los hábitos de almacenamiento más populares son justo lo que explotan los atacantes. La base segura es un gestor (una contraseña única por sitio) más passkeys/MFA en tus cuentas clave.
Seguridad para la era de la IA: los fundamentos que blindar ya (lista de prioridades)
La IA sobre todo amplifica los ataques sobre debilidades EXISTENTES (CVE sin parchear, contraseñas reutilizadas, secretos expuestos) más que inventar nuevas — encontradas de forma automática, rápida y a escala. Así que la mejor preparación es blindar los fundamentos en el orden correcto: parcheo de CVE + monitoreo de dependencias, eliminar la reutilización + MFA, quitar secretos expuestos, mínimo privilegio, reducir la superficie pública, registros/IOC, copias de seguridad.
Qué funciona (y qué no) para la seguridad en la era de la IA — por qué también golpean a los sitios pequeños
Cuatro mitos de la era de la IA corregidos: (1) demasiado pequeño para ser objetivo → la automatización elimina «un humano te elige»; (2) necesita un control nuevo especial → los fundamentos siguen ganando; (3) un producto te hace seguro → diseño de prevención antes que detección; (4) el código de IA es rápido, así que es seguro → se despliega con vulnerabilidades, revisa antes de publicar. Lo que funciona son los aburridos fundamentos en el orden correcto.
Elegir bien la MFA: qué significa «resistente al phishing» y por qué el SMS es débil
La MFA es una segunda cerradura para que una contraseña filtrada por sí sola no permita entrar — pero lo que actives cambia su fortaleza en tres niveles. Los códigos por SMS/correo caen ante el phishing por relay y el SIM-swap; las apps de autenticación (TOTP) están en medio; las passkeys/llaves de seguridad (FIDO2) no pueden presentarse a un sitio falso en absoluto — eso es resistencia al phishing. Máxima prioridad: pon MFA resistente al phishing en las llaves del reino (correo, dominio, pagos). Guardar los códigos de recuperación y tener un factor de respaldo completan la configuración.
Fundamentos de copias de seguridad: la regla 3-2-1 y un plan de recuperación que sobrevive al ransomware
«Tengo una copia de seguridad» no basta — solo es real una copia que has verificado que puedes restaurar. Los fundamentos: la regla 3-2-1 (tres copias, dos tipos de medio, una fuera del sitio). Para el ransomware además necesitas al menos una copia «offline o inmutable» — una copia siempre conectada se cifra junto con el original. La sincronización en la nube no es una copia de seguridad (también replica borrados y cifrado). El versionado y una prueba de restauración periódica completan la práctica.
¿Sigues con Windows 10? Los riesgos de seguridad de usarlo tras el fin de soporte
Windows 10 llegó al fin de soporte el 14 de octubre de 2025. El riesgo central de quedarse es que los agujeros recién descubiertos nunca se parchean (forever-days) y se acumulan, haciendo de la máquina un objetivo predilecto. La ESU de consumo es un parche temporal de un año, solo de seguridad, hasta el 13 de octubre de 2026 (existen vías de inscripción gratuitas, pero el primer año gratis del EEE no aplica en la mayoría de las regiones). La solución real es pasar a Windows 11 o reemplazar el hardware — usa la ESU solo como puente hasta completar esa migración.
Proteger un portátil que llevas contigo — defensa contra robo, pérdida y miradas indiscretas
Llevar un portátil asume que lo perderás o te lo robarán. La defensa real se diseña para que una pérdida no filtre el contenido: cifrado de disco (BitLocker/FileVault), un inicio de sesión fuerte con bloqueo automático corto, y borrado/localización remotos. Con HTTPS en todas partes, el sniffing de Wi-Fi público es de menor prioridad; las amenazas reales son los puntos de acceso falsos, las miradas indiscretas y alejarse del equipo. No confíes en exceso en una VPN — endurece primero el dispositivo.
¿Son seguros los gestores de contraseñas? Cómo funcionan, nube vs local y cómo elegir
Un gestor de contraseñas es más seguro que reutilizar o guardar en texto plano. La clave es el cifrado de conocimiento cero: tu contraseña maestra descifra la bóveda solo en tu dispositivo, el proveedor solo guarda texto cifrado, así que una brecha del proveedor no expone tus contraseñas. El verdadero punto único es tu contraseña maestra más el MFA de la bóveda. Elige nube (Bitwarden/1Password) o local (KeePass) según el uso.
Los peligros del Wi-Fi público — el riesgo real no es el 'sniffing', son los gemelos malvados y las advertencias de certificado ignoradas
El 'sniffing' en Wi-Fi público está mayormente mitigado por HTTPS y ahora es de menor prioridad. Los riesgos reales son (1) conectarte tú mismo a un punto de acceso falso (gemelo malvado), (2) ignorar advertencias de certificado y (3) exponer tu dispositivo en la red compartida. La solución más fuerte es sorprendentemente simple — usa el anclaje a red móvil de tu teléfono, confía en HTTPS y en las advertencias de certificado, y no te unas automáticamente a SSID desconocidos. Una VPN es la siguiente capa.
La base de seguridad para desarrolladores independientes y pequeños operadores: el conjunto estándar completo
La base no es 'todo igual de importante'. El orden de prioridad de este sitio: 1) llaves del reino (MFA, dominio, correo), 2) secretos y código, 3) la propia app, 4) parchear, detectar, recuperar. Con tiempo finito, complétala de arriba abajo. La mayoría de las brechas graves no vienen de ataques novedosos sino de un hueco en esta base.
La base de seguridad para organizaciones medianas y grandes: el fundamento estándar para equipos
A escala, la base pasa de una 'lista de comprobación' a 'programas con responsables'. El orden de prioridad coincide con la versión independiente: 1) identidad, 2) secretos y cadena de suministro, 3) app e infraestructura, 4) detectar y responder, más una capa transversal de personas y gobernanza. El gran cambio: la principal causa de brechas pasa de los descuidos a las personas, los procesos, el acceso de exempleados y los terceros.
Inventario de seguridad — 7 comprobaciones que pasan por alto quienes operan varios servidores
Para operadores solos/pequeños, los incidentes vienen menos de controles ausentes que de estado sin seguimiento. La frontera es el PC que guarda tus claves. Escalona el 2FA por raíz de confianza, haz una matriz de tus claves SSH para eliminar duplicados/sin usar/huérfanas, quita las contraseñas en texto plano de la nube, remedia de forma reversible una a una, y mantén los secretos fuera del registro. Inventario antes de añadir herramientas.
Seguridad básica del smartphone — proteger el dispositivo que reúne tus claves, tu bóveda y tu identidad en uno
Un teléfono concentra el 2FA, el correo, la banca y la identidad en un único punto de fallo. La defensa real no es una app de seguridad: (1) un bloqueo fuerte + autobloqueo corto (el código es la clave de cifrado); (2) actualizaciones automáticas del SO/apps; (3) tienda oficial + revisión de permisos; (4) configurar de antemano el bloqueo/borrado remoto; (5) mantener un respaldo de tu 2FA. iOS/Android ya cifran y aíslan por defecto.
¿Es seguro guardar tus contraseñas en Google Drive? Cómo conservarlas correctamente
Guardar contraseñas en un Documento/Hoja de Google en texto plano es peligroso: una cuenta de Google se convierte en el punto único de fallo de cada contraseña — la toma de la cuenta, una app conectada maliciosa o el phishing las filtran todas de golpe. La solución es un gestor de contraseñas dedicado (el contenido sigue cifrado incluso al sincronizar). Si debes usar Drive, guarda solo un archivo de bóveda cifrado y pon MFA resistente al phishing en la cuenta.