¿Que significa: 'security-by-obscurity'?

Security by Obscurity (Seguridad por Oscuridad)

Definición:

La "Seguridad por Oscuridad" es una estrategia en el campo de la seguridad informática que se basa en mantener en secreto ciertos detalles de un sistema o una aplicación con la esperanza de que, al no ser conocida la información, los atacantes no logren encontrar ni explotar vulnerabilidades en dicho sistema.

Explicación detallada:

1. Concepto Básico: La idea detrás de la Seguridad por Oscuridad es que si escondes información sobre cómo funciona tu sistema o sobre ciertos aspectos de tu software, será más difícil para alguien con intenciones maliciosas descubrir cómo atacarlo. Por ejemplo, no revelar la versión de un software que estás utilizando para que sea más difícil para los atacantes saber qué vulnerabilidades podrían existir.

2. Ejemplos:

   • No hacer pública la estructura de una base de datos.
   • Mantener secretos los detalles del algoritmo de cifrado usado en una comunicación.
   • No divulgar la lógica interna de un código fuente.

3. Pros y Contras:

   • Ventajas: En el corto plazo, puede proporcionar una capa adicional de protección y puede desanimar a atacantes casuales o con menos habilidades.
   • Desventajas: No es una forma robusta de seguridad. Si el secreto se descubre, el sistema queda vulnerable. Además, confiar únicamente en la oscuridad puede llevar a una falsa sensación de seguridad y a descuidar otras prácticas más eficaces de seguridad.

4. Comparación con otros enfoques:

   • A diferencia de la "Seguridad por Diseño" (Security by Design), donde el sistema se construye desde el comienzo para ser seguro, la Seguridad por Oscuridad apuesta por mantener ciertos aspectos en secreto.
   • No es lo mismo que "Seguridad en Profundidad" (Defense in Depth), que utiliza múltiples capas de seguridad para proteger los sistemas.

5. En la práctica: Aunque esconder detalles puede ofrecer una capa adicional de protección, los expertos en seguridad recomiendan que esto no sea la única línea de defensa. Es importante combinarla con otras buenas prácticas como el cifrado fuerte, autenticación robusta, y pruebas regulares de seguridad.

En resumen, la Seguridad por Oscuridad puede ser útil como una capa adicional, pero no debe ser la única ni la principal estrategia de seguridad, ya que dependen en gran medida del secreto, y en el mundo de la informática, los secretos no siempre se mantienen ocultos por mucho tiempo.