VPN (Red Privada Virtual).

Una VPN establece un túnel protegido criptográficamente entre dos extremos para que el tráfico que atraviesa redes no confiables conserve la confidencialidad, la integridad y la autenticidad. Las implementaciones difieren: IPsec (RFC 4301) opera en la capa 3 con intercambio de claves IKEv2; las VPN SSL/TLS hacen túnel sobre HTTPS para el acceso sin cliente desde el navegador; OpenVPN utiliza un protocolo propio basado en TLS; y WireGuard, presente en el kernel principal de Linux desde la versión 5.6, emplea primitivas modernas y fijas —Curve25519, ChaCha20-Poly1305, BLAKE2s— para lograr una base de código pequeña y rápida.

Los concentradores de VPN son objetivos de alto valor porque se sitúan en el perímetro e intermedian el acceso a la red interna. CVE-2019-11510, una lectura arbitraria de archivos previa a la autenticación en Pulse Connect Secure (CVSS 10.0), permitía a los atacantes recolectar credenciales en texto plano y se utilizó para desplegar el ransomware REvil/Sodinokibi contra hospitales y organismos públicos. CVE-2018-13379, una path traversal en el SSL-VPN de Fortinet FortiOS, filtraba archivos de sesión que contenían credenciales en texto claro; unas 50.000 credenciales de dispositivos se volcaron públicamente en noviembre de 2020. Ambas siguieron siendo explotadas mucho después de que se publicaran los parches.

Defensas: parchear los concentradores con prontitud, exigir MFA resistente al phishing en el túnel, restringir el split-tunnel cuando la política requiera inspección completa, y supervisar los registros de sesión para detectar viajes imposibles y reutilización de credenciales. Cada vez más, las organizaciones sustituyen el acceso amplio a nivel de red mediante VPN por pasarelas de aplicación zero-trust que conceden alcance por aplicación en lugar de por red.

flowchart LR
  C[Cliente / endpoint] -->|1. Autenticación + intercambio de claves IKE/TLS| G[Gateway VPN]
  C -->|2. Túnel cifrado ESP/TLS a través de Internet| G
  G -->|3. Descifrar y reenviar| R[Recursos internos]
  A[Espía] -. solo ve texto cifrado .-> C