Funciones de red virtualizadas y su cadena

En la arquitectura de virtualización de funciones de red del ETSI (NFV), la función de red es software (una función de red virtualizada o, si va en contenedores, nativa de la nube) que un orquestador despliega sobre una infraestructura compartida. Funciones como el plano de usuario, la gestión de sesiones o el descubrimiento de funciones del núcleo móvil llegan como paquetes de proveedores distintos.

Ese paquete es una entrada de software de terceros al núcleo de la red. La verificación que se espera es la misma que en cualquier cadena de suministro: comprobar de dónde viene (firma y procedencia), qué lleva (lista de componentes) y que solo se ejecuten imágenes que pasaron por ahí.

Una firma de imagen permite comprobar que la imagen es la que el proveedor publicó y que nadie la cambió en el camino. Sin ella, no hay forma de distinguir una imagen legítima de una sustituida.

Lee el catálogo de funciones y busca la que no tiene la imagen firmada.

Los descriptores de despliegue indican de dónde descarga cada función su imagen. Si todas salen de un registro propio, el equipo controla qué entra; si una sale de otro lugar, se salta ese control, aunque el catálogo diga que la imagen «está en el inventario».

La lista de componentes (SBOM) de una función permite saber, cuando aparece un aviso de vulnerabilidad en una biblioteca, si esa función la lleva. Una función sin lista es una función de la que no se puede responder esa pregunta: se enteran del aviso antes que de si les afecta.

Lee la nota de incorporación: describe un procedimiento que valida que la función funciona, no que sea lo que dice ser. Las dos cosas son distintas, y en una red de telecomunicaciones la primera sin la segunda deja entrar código desconocido en el núcleo.