Un air gap (brecha de aire) es una medida de seguridad en la que un ordenador o una red se aísla físicamente de internet y de otras redes no fiables, sin ninguna conexión cableada ni inalámbrica con ellas.
Cómo funciona un air gap
Un sistema air-gapped no tiene ninguna ruta de red hacia el exterior. Los datos solo pueden moverse por medios físicos: memorias USB, discos ópticos o dispositivos unidireccionales específicos llamados diodos de datos. Se usan en redes militares y clasificadas, control industrial, instalaciones nucleares y energéticas, sistemas de pago y votación, almacenamiento de claves criptográficas y copias de seguridad offline.
Por qué son importantes y cómo se superan
El aislamiento elimina la principal superficie de ataque, pero no es absoluto. Los soportes extraíbles y el comportamiento humano son los puntos débiles:
- Stuxnet (descubierto en 2010) habría llegado mediante memorias USB a la planta aislada de enriquecimiento de Natanz (Irán), donde saboteó centrifugadoras.
- Agent.btz (2008): un gusano que llegó por USB a redes militares de EE. UU. y motivó la operación Buckshot Yankee y la prohibición de soportes extraíbles.
- Marcos de espionaje como los atribuidos al Equation Group, y herramientas APT posteriores, usaron almacenamiento oculto en memorias USB para transportar datos a través del aislamiento.
Investigadores, sobre todo de la Universidad Ben-Gurión (Israel), han demostrado canales encubiertos que extraen datos mediante el ruido de los ventiladores, el parpadeo de LED, las emisiones electromagnéticas o el calor, una forma de ataque de canal lateral. Estos canales son lentos y exigen que antes se haya implantado malware. Además, muchas redes «aisladas» tienen conexiones ocultas, como portátiles de mantenimiento o accesos remotos de proveedores.
Buenas prácticas
- Controlar y analizar estrictamente los soportes extraíbles; usar estaciones de transferencia dedicadas.
- Usar diodos de datos cuando la información solo deba circular en un sentido.
- Comprobar con regularidad que no existen conexiones no documentadas.
- Aplicar seguridad física y monitorización también dentro de la red aislada.
