Diseño abierto y principios que chocan

El principio de diseño abierto, que viene del siglo XIX con el criptógrafo Kerckhoffs y que Saltzer y Schroeder incluyeron entre sus principios de 1975, dice que un sistema debe seguir siendo seguro aunque el atacante conozca cómo está hecho. Lo único que debe ser secreto es la clave, que se puede cambiar, y no el diseño, que no se puede cambiar sin construirlo de nuevo.

Abierto no significa publicado en internet: significa que el diseño soportaría ser publicado. Una URL difícil de adivinar no es un control, es una apuesta a que nadie mire.

La tabla secretos_de_diseno pregunta de qué depende cada control de Ostral. Si depende de una clave guardada en una bóveda, sobrevive a que el diseño se conozca. Si depende de que nadie sepa dónde está algo, cae el día que lo mencione un correo, una captura o un proveedor despedido.

Busca el control cuya única protección es que la ruta no se conoce.

Los principios chocan. Defensa en profundidad pide más capas y economía de mecanismo pide menos piezas. Mínimo privilegio pide cuentas separadas y la guardia de madrugada necesita reiniciar un servicio. Ningún principio gana por jerarquía: se decide por el efecto concreto en este sistema.

Una regla útil tiene tres partes: comparar el impacto de que falle cada lado, ceder el principio cuyo fallo duele menos y dejar escrito quién firma la excepción, para revisarla cuando cambie el impacto. La tabla regla_de_decision de Ostral la resume en orden de prioridad.

Ceder un principio sin firma no es una decisión: es una omisión con buena cara. La tabla conflictos de Ostral recoge cuatro casos en los que el equipo cedió uno de los dos principios. Para cada uno dice quién aprobó la excepción. Uno de los casos se resolvió de palabra.