Fronteras de confianza

Una frontera de confianza no es una pared de red ni un cortafuegos: es un cambio en el control. Del lado de la nube de Lindero, el equipo decide qué corre, quién entra y qué se registra. En el teléfono de un asociado o en la caseta de un punto de compra no decide nadie del equipo, así que todo dato que llega de allí se trata como entrada no verificada.

El valor de marcar fronteras es práctico: en cada flujo que las cruza hay que preguntarse quién envía, cómo lo sabemos y qué pasa si miente. Un flujo que no cruza ninguna se examina igual, pero casi siempre con menos urgencia.

La regla del equipo es simple: un flujo cruza una frontera cuando su origen y su destino están en zonas distintas. Para saberlo hay que mirar los dos extremos en la tabla de elementos, donde cada uno trae su zona, y no confiar en el nombre del canal.

Un flujo interno sin autenticación es una debilidad; uno que cruza una frontera sin autenticación es otra de mayor tamaño, porque quien está al otro lado ni siquiera es de la casa.

Contar los cruces da una medida del tamaño de la superficie del modelo: cada flujo que cruza es una conversación con alguien que el equipo no controla del todo. No es una puntuación de riesgo, es un inventario de dónde mirar. Un diagrama con muchos cruces necesita más amenazas escritas, no necesariamente un diseño peor.

Recorre los 26 flujos con la tabla de elementos al lado.

Los supuestos de diseño son frases que el equipo da por ciertas y que sostienen decisiones. «Está en la red interna» sostiene «no hace falta autenticarlo bien». Un modelo de amenazas gana valor cuando contrasta cada supuesto con evidencia independiente del equipo que lo escribió: la ficha de infraestructura, el inventario, la visita al lugar.

Lee diagrama/supuestos.txt y compáralo con la ficha de los puntos de compra y con la tabla de elementos.

Cuando un supuesto falla no hace falta rediseñar todo. El cambio más barato suele ser dejar de suponer: tratar esa zona como no confiable y mover la comprobación a un lugar que el equipo sí controla. Cada decisión se defiende con un costo y un riesgo que se cierra, no con una preferencia por una tecnología.

Piensa en lo que sabes ahora de las 12 casetas: módem de un operador móvil, algunas alquiladas, una persona del lado de la cooperativa que teclea un PIN.