Autenticación, certificados, claves compartidas y MFA

Una pasarela puede demostrar quién es de dos maneras. Con una clave precompartida (PSK), un secreto que conocen las dos puntas; o con un certificado, una identidad firmada por una autoridad de confianza, con su fecha de vencimiento y la posibilidad de revocarla.

La clave compartida es sencilla, y por eso se queda: se escribe una vez, se copia a otras pasarelas «porque es la misma empresa» y nadie la rota. Si un tercero la conoce, la conoce para siempre. El certificado le da a cada pasarela su propia identidad, que caduca y se puede retirar sin tocar a las demás.

Un certificado tiene una fecha de vencimiento. Cuando pasa, la pasarela que lo presenta ya no puede autenticarse y el túnel cae; o, peor, alguien lo «arregla» aceptando certificados vencidos. La revisión compara cada vencimiento con la fecha del informe.

La tabla certificados lista el sujeto, el emisor y la fecha de vencimiento de cada uno. La fecha del informe es 2027-05-18.

Una clave compartida entre dos pasarelas es un secreto de dos. Si la misma se usa en un segundo túnel, el secreto es de cuatro: quien la conoce por un túnel puede intentar suplantar a la pasarela en el otro. La tabla autenticacion guarda, por túnel, el método y una referencia de la clave (en el trabajo real jamás se guarda el valor, solo una referencia).

En el acceso remoto el extremo es una persona, y una contraseña robada es el modo de entrada más barato. El segundo factor (MFA) es lo que impide que esa contraseña, por sí sola, abra la VPN. La tabla usuarios_vpn dice qué cuentas existen, a qué grupo pertenecen, si exigen MFA y si siguen activas.

Cuenta solo las cuentas activas que no exigen MFA: una cuenta dada de baja ya no abre nada.

Una de las cuentas sin MFA no es una persona: es una cuenta de servicio que usa un programa de respaldos. Un programa no puede aprobar una notificación en un teléfono, así que el segundo factor no se le puede exigir de la misma forma. Pero la excepción no se puede quedar sin dueño: hay que escribirla, limitarla y fijarle una fecha.