La seguridad por oscuridad es la práctica de confiar la protección de un sistema al secreto de su diseño o implementación, en lugar de a controles de seguridad sólidos.
Qué significa la seguridad por oscuridad
Ejemplos típicos son algoritmos de cifrado propietarios mantenidos en secreto, paneles de administración ocultos en URL poco habituales, servicios trasladados a puertos no estándar, protocolos de red sin documentar o contraseñas «protegidas» solo por estar guardadas en un lugar inesperado. La suposición de fondo es que los atacantes no descubrirán cómo funciona el sistema.
Por qué falla como defensa principal
La criptografía rechazó la idea ya en 1883 con el principio de Kerckhoffs: un sistema debe seguir siendo seguro aunque todo en él, salvo la clave, sea público. Claude Shannon lo resumió después como «el enemigo conoce el sistema». Las guías del NIST sobre seguridad de servidores también establecen que la seguridad no debe depender del secreto de la implementación. Los casos reales lo confirman:
- el cifrado secreto CSS de los DVD se rompió en 1999 (DeCSS);
- el algoritmo de cifrado propietario Crypto-1 de las tarjetas MIFARE Classic de transporte y control de acceso se reconstruyó y se rompió en 2008;
- los servicios ocultos en puertos inusuales se encuentran en minutos con herramientas de escaneo de puertos masivo como Masscan y buscadores como Shodan.
El firmware y el software de código cerrado siempre pueden analizarse mediante ingeniería inversa, así que el secreto solo retrasa a un atacante decidido. Peor aún, impide la revisión independiente que encontraría antes los puntos débiles.
Cuándo es aceptable la oscuridad
La oscuridad no es inútil como capa adicional. Mover SSH a otro puerto reduce el ruido de los bots automatizados, y no revelar las versiones del software complica un poco el trabajo de los atacantes. La regla práctica: la oscuridad puede complementar controles reales como la autenticación robusta, la aplicación de parches y el cifrado con algoritmos públicos y bien estudiados, pero nunca sustituirlos.
