Una red de distribución de contenidos (CDN) es una red de servidores distribuida geográficamente que almacena en caché y entrega contenido web desde puntos cercanos al usuario, acelerando los sitios y absorbiendo ataques.
Cómo funciona una CDN
En lugar de que cada visitante se conecte al servidor de origen del sitio, el DNS o el enrutamiento anycast lo envían al servidor edge de la CDN más cercano. El edge devuelve imágenes, scripts y páginas en caché y solo reenvía al origen las peticiones restantes, actuando como un servidor proxy inverso a gran escala. Akamai, fundada en 1998, fue pionera del modelo; hoy Cloudflare, Fastly, Amazon CloudFront y otros transportan una gran parte de todo el tráfico web.
Por qué importan las CDN para la seguridad
Las CDN modernas también son plataformas de seguridad. Terminan TLS, filtran el tráfico con cortafuegos de aplicaciones web, gestionan bots y reparten los ataques DDoS volumétricos sobre una enorme capacidad global, de modo que los sitios protegidos resisten inundaciones que tumbarían un único centro de datos. Además ocultan la IP real del servidor de origen.
La concentración trae sus propios riesgos:
- Puntos únicos de fallo: en junio de 2021 un error de configuración en Fastly tumbó brevemente muchos grandes sitios de noticias y de gobiernos de todo el mundo.
- Fugas de datos: el fallo Cloudbleed de 2017 hizo que los servidores edge de Cloudflare filtraran fragmentos de memoria, incluidas cookies y tokens, en páginas web.
- Exposición del origen: si los atacantes descubren la IP del origen por registros DNS antiguos o cabeceras de correo, pueden saltarse la protección de la CDN.
- Abuso: los atacantes alojan páginas de phishing y malware en dominios de CDN de confianza, y el «domain fronting» (MITRE ATT&CK T1090.004) oculta tráfico de comando y control tras ellos.
Buenas prácticas
- Permitir conexiones al origen solo desde los rangos de la CDN o mediante túneles autenticados.
- Activar el WAF, la limitación de tasa y la protección DDoS, y revisar sus reglas.
- Usar Subresource Integrity para los scripts de terceros cargados desde CDN públicas.
- Prever caídas de la CDN con alternativas de conmutación para los servicios críticos.
