Sustitución de protocolos inseguros: Telnet frente a SSH, FTP frente a SFTP

Muchos protocolos fundamentales de Internet se diseñaron en las décadas de 1970 y 1980, cuando la seguridad no era una preocupación prioritaria. Los protocolos de texto claro transmiten todos los datos —incluidos nombres de usuario, contraseñas e información confidencial— en texto sin cifrar a través de la red. Cualquier dispositivo del mismo segmento de red, o cualquier sistema por el que atraviesen los paquetes, puede capturar y leer este tráfico con herramientas disponibles gratuitamente, como Wireshark. En entornos con switches de red (que normalmente aíslan el tráfico entre puertos), la suplantación de ARP puede redirigir el tráfico al sistema de un atacante, lo que hace peligrosos los protocolos de texto claro incluso en redes «internas».

Telnet (puerto TCP 23) proporciona acceso remoto a la línea de comandos de los sistemas, pero transmite todo en texto sin cifrar. No cuenta con autenticación integrada más allá del nombre de usuario y la contraseña, que se envían sin cifrar. SSH (Secure Shell) (puerto TCP 22) sustituye Telnet por un canal cifrado y autenticado. SSH utiliza un intercambio de claves asimétricas para establecer una clave de sesión y, después, cifra todas las comunicaciones posteriores mediante cifrado simétrico. SSH también autentica el servidor (lo que evita la suplantación del servidor) y admite la autenticación mediante clave pública (sin contraseña, pero más segura que las contraseñas), además de la autenticación mediante contraseña.

La seguridad de SSH depende de un proceso sólido de intercambio de claves. Al conectarse, el cliente verifica la clave de host del servidor comparándola con una copia almacenada localmente; esto evita la suplantación del servidor. Si la clave de host cambia inesperadamente, SSH avisa al usuario, lo que suele ser una señal de un ataque de intermediario. Después de verificar el servidor, la autenticación del cliente puede utilizar: contraseña (cifrada durante el tránsito, pero susceptible a ataques de fuerza bruta), clave pública (el cliente demuestra que posee la clave privada; es mucho más segura) o keyboard-interactive (admite MFA). Las organizaciones deben exigir la autenticación basada en claves y desactivar la autenticación mediante contraseña en los servicios SSH expuestos a Internet.

FTP (File Transfer Protocol) (puertos TCP 20/21) transfiere archivos en texto sin cifrar: las credenciales, los comandos y los datos de los archivos quedan expuestos. FTP también utiliza un canal de datos independiente (en modo pasivo o activo), lo que complica las reglas del firewall. SFTP (SSH File Transfer Protocol) tuneliza la transferencia de archivos mediante SSH por el puerto 22; es completamente diferente de FTP y solo comparte con él un nombre similar. FTPS (FTP Secure) añade cifrado TLS al protocolo FTP original. Generalmente se prefiere SFTP porque utiliza un solo puerto y hereda la autenticación y el cifrado de SSH. FTP debe desactivarse en todos los sistemas de producción.

HTTP (puerto TCP 80) transmite contenido web, incluidos datos de formularios, cookies de sesión y tokens de autenticación, en texto sin cifrar. HTTPS (puerto TCP 443) encapsula HTTP en TLS y proporciona cifrado, autenticación del servidor e integridad de los datos. Las organizaciones deben exigir HTTPS en todas partes: redirigir todo el tráfico HTTP a HTTPS (redirección 301), implementar HSTS para impedir que los navegadores se conecten mediante HTTP y configurar las marcas de cookie secure y HttpOnly para evitar que los tokens de sesión sean robados mediante HTTP o JavaScript. Los navegadores modernos marcan los sitios HTTP como «No seguro»; HTTPS es ahora el requisito básico esperado para todos los servicios web.

SNMP (Simple Network Management Protocol) administra dispositivos y servidores de red. SNMPv1 y v2c utilizan cadenas de comunidad (básicamente, contraseñas compartidas) que se envían en texto claro. Cadenas como «public» (lectura) y «private» (escritura) son valores predeterminados que los atacantes conocen. Un atacante que capture tráfico SNMP obtiene la cadena de comunidad y puede leer las configuraciones de los dispositivos o cambiar sus ajustes. SNMPv3 añade autenticación (HMAC-MD5 o HMAC-SHA) y cifrado (AES) con credenciales por usuario, lo que lo convierte en la única versión adecuada para entornos de producción. SNMPv1/v2c debe desactivarse.

LDAP (Lightweight Directory Access Protocol) (puerto TCP 389) autentica y consulta servicios de directorio (Active Directory, OpenLDAP) en texto claro de forma predeterminada, lo que expone las credenciales y los datos del directorio. LDAPS (LDAP sobre SSL/TLS, puerto TCP 636) cifra la conexión mediante un certificado. StartTLS es una alternativa que actualiza una conexión LDAP existente a TLS mediante el mismo puerto 389. Tanto LDAPS como StartTLS proporcionan cifrado, pero LDAPS suele ser más sencillo y fiable. Las organizaciones deben configurar todas las aplicaciones que consumen LDAP para utilizar LDAPS y bloquear el LDAP en texto claro del puerto 389 en el firewall.

Los clientes de correo electrónico antiguos recuperan el correo mediante POP3 (puerto 110) e IMAP (puerto 143) en texto claro. Las alternativas cifradas son: POP3S (puerto 995, TLS) e IMAPS (puerto 993, TLS). Las plataformas de correo modernas (Exchange Online, Google Workspace) exigen TLS para todas las conexiones de los clientes y admiten autenticación basada en tokens OAuth 2.0 en lugar de contraseñas. Las organizaciones deben desactivar la autenticación básica en los protocolos de correo; exigir autenticación moderna (OAuth 2.0 + MFA) evita los ataques de credential stuffing que aprovechan los mecanismos de autenticación en texto claro de los protocolos de correo antiguos.

Sustituir protocolos inseguros requiere algo más que activar la versión segura: la versión insegura debe desactivarse activamente. Pasos: auditar el uso de los protocolos existentes (análisis de Nmap, registros del firewall), migrar las aplicaciones y configuraciones al protocolo seguro, probar exhaustivamente (las aplicaciones empresariales pueden dejar de funcionar) y, después, bloquear el protocolo inseguro en el firewall y en el host. Problemas habituales: las impresoras antiguas y los dispositivos integrados a menudo solo admiten FTP o SNMPv2; los sistemas industriales antiguos pueden depender de Telnet. En estos casos se requiere aislamiento de red o sustituir el dispositivo por otro del proveedor, en lugar de una simple actualización del protocolo.

RDP (Remote Desktop Protocol) (puerto 3389) se utiliza ampliamente para la administración remota de Windows y es un objetivo importante de los ataques. Entre las configuraciones inseguras de RDP se incluyen exponer el puerto 3389 a Internet, utilizar autenticación basada únicamente en contraseña y desactivar NLA. Para reforzar RDP: active Network Level Authentication (NLA), que autentica antes de abrir la sesión completa (y bloquea las conexiones no autenticadas); exija TLS 1.2+ para todas las sesiones RDP; sitúe RDP detrás de una VPN o una puerta de enlace RDP en lugar de exponerlo a Internet; y aplique el bloqueo de cuentas para impedir ataques de fuerza bruta. Muchas campañas de ransomware obtienen el acceso inicial mediante RDP expuesto y mal protegido.

Migrar de protocolos inseguros en entornos de producción requiere una planificación cuidadosa para evitar interrupciones del negocio. Un enfoque gradual: Fase 1 — Descubrimiento: ejecute análisis de Nmap y audite los registros del firewall para identificar todos los usos de protocolos de texto claro. Fase 2 — Activación de alternativas seguras: configure SSH, SFTP y HTTPS junto con los servicios inseguros existentes. Fase 3 — Migración de consumidores: actualice scripts, aplicaciones, herramientas de supervisión y flujos de trabajo de los usuarios para que utilicen el protocolo seguro. Fase 4 — Desactivación y bloqueo: desactive el servicio inseguro en cada host y bloquee el puerto en el firewall. Las pruebas en cada fase evitan interrupciones en producción.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que los protocolos de texto sin cifrar (Telnet, FTP, HTTP, SNMPv1/v2c, LDAP) exponen las credenciales y los datos a la interceptación de red y deben reemplazarse; los reemplazos seguros (SSH, SFTP, HTTPS, SNMPv3, LDAPS) utilizan cifrado TLS o SSH para proteger la misma funcionalidad; y reemplazar protocolos requiere deshabilitar la versión insegura tanto en el firewall como en los hosts después de auditar las dependencias heredadas. A continuación, exploraremos las versiones de TLS, las suites de cifrado y el secreto perfecto hacia adelante.