Comunicación estenopeica con red con espacio de aire

Un espacio de aire se utiliza como una separación completa entre redes con diferentes requisitos de seguridad. No desea este tipo de separación completa ya que hace imposible el intercambio de datos. En su lugar, desea tener la mayor separación posible. Especialmente desea asegurarse de que ningún dato de la red de seguridad más baja que se haya comprometido pueda dañar la red de seguridad más alta.

En el caso más sencillo, los datos nunca deben fluir de la red de baja seguridad a la red de mayor seguridad, sino solo en la otra dirección. Un caso de uso para esto es, por ejemplo, la transferencia de datos de registro y estado de una red de la industria a la red de monitoreo para la agregación, visualización y análisis de registros. Las tecnologías en esta área son diodos de datos que garantizan que los datos solo pueden fluir en una dirección, a veces garantizada por hardware y, a veces, por pilas de software mínimas y fáciles de auditar, como los micro-núcleos.

El caso más complejo es la comunicación bidireccional restringida. En este caso, los ataques desde la red de seguridad más baja pueden ocurrir en varias capas: desde la capa de red hasta la capa de aplicación. Su idea de utilizar una línea en serie intenta reducir los ataques en la capa de red al reemplazar la gran superficie de ataque de una pila de red completa y compleja con la superficie de ataque con la esperanza de ser más pequeña de una interfaz de línea en serie más simple.

También tratas de lidiar con los ataques en las capas más altas aceptando solo paquetes firmados de la red de seguridad más baja. Pero como la red de seguridad más baja podría haberse visto comprometida, el atacante también podría tener acceso a los secretos necesarios para la firma y, por lo tanto, puede firmar cualquier tipo de carga útil que desee. Esto significa que no debes confiar en nada que provenga de una red de baja seguridad, incluso si está firmada.

En su lugar, debe asegurarse de que solo las cargas útiles se envíen de una red de seguridad alta a baja, que se esperan completamente en la red de alta seguridad y, por lo tanto, no causarán daños allí. En la forma más fácil, esto podría ser un conjunto fijo de mensajes que están permitidos. Más complejo es un conjunto fijo de mensajes que se pueden parametrizar ligeramente, en cuyo caso debe validar que los parámetros coincidan con las expectativas. Dependiendo de los requisitos reales con respecto a la transferencia de datos y los costos de la falla, tal validación y tal vez la limpieza o transformación de la carga útil puede ser realmente compleja. Y, por supuesto, también puede contener errores explotables, por lo que también debe proteger la validación. En entornos de mayor seguridad (como el gobierno, los bancos o el sector energético), se puede optar por dispositivos de pasarela dedicados con un sistema operativo mínimo y reforzado que solo tienen esta tarea de validar, desinfectar y transferir cargas útiles en protocolos específicos y que se pueden auditar más fácilmente porque de menor complejidad.