Límites de confianza

Una frontera de confianza separa dos zonas en las que cambia quién controla lo que pasa. A un lado hay código y datos que tu equipo administra; al otro, una red pública, el teléfono de un cliente o un proveedor con su propia seguridad. No la define el dibujo sino la realidad: se traza donde alguien distinto manda, o donde el nivel de acceso cambia.

Lo que cruza una frontera hay que tratarlo como entrada no confiable aunque venga de un sistema conocido, porque del otro lado ya no decide tu equipo.

Para saber dónde mirar hay que saber cuántos flujos cruzan una frontera. Un flujo la cruza cuando la zona de su origen no es la zona de su destino. En Farolito, los elementos viven en zonas distintas —internet, la aplicación, los datos y dos terceros— y los flujos se pueden cruzar con esas zonas. Abre la consulta que une flujos con elementos dos veces y compara las columnas zona_origen y zona_destino.

Solo los que cruzan merecen la mirada más atenta; los internos de una zona importan menos, aunque no se olvidan.

Un flujo que cruza una frontera debería traer consigo la prueba de quién lo manda. Un flujo interno sin autenticación es un riesgo de diseño menor, porque ambos lados están dentro de la misma zona; el mismo vacío en un flujo que cruza una frontera es otra cosa, porque el receptor acepta datos de alguien sin poder comprobar que son quien dicen ser. Mira, entre los que cruzan, cuáles tienen autenticación «ninguna» en la columna autenticacion.

Autenticación ausente más frontera cruzada es la combinación que el modelo existe para encontrar.

El proveedor de pagos y el de correo de Farolito son terceros: están al otro lado de una frontera aunque los eligió la empresa y haya un contrato. Confiar en un tercero no es lo mismo que controlarlo. Lo que el proveedor haga con tus datos, cómo los guarde y qué pase si lo comprometen no lo decide tu equipo. Por eso los flujos hacia y desde un tercero se modelan igual que los de cualquier otra zona: con su autenticación, su cifrado y sus amenazas.

El contrato dice a quién reclamar cuando algo falla; no impide que falle.

Cada flujo que cruza tiene un destino, y ese destino es una zona con su propio administrador. Cuando el servicio de avisos de Farolito envía el resumen de una reserva por correo, los datos del viajero salen de la casa y entran en una zona que administra otra empresa. Saber cuál es esa zona, con su nombre, es lo que permite decir qué datos salen de la casa y a manos de quién.

El inventario de a dónde salen los datos es la base de cualquier conversación sobre privacidad con un proveedor.