Confianza cero, aplicada al vino

Ver el film · 3:01

Esta nota está escrita en primera persona por el curador.

Seis criados honestos

Rudyard Kipling escribió el manual de investigación más sencillo que conozco. Tiene cuatro versos y cierra un cuento infantil publicado en 1902:

I keep six honest serving-men
(They taught me all I knew);
Their names are What and Why and When
And How and Where and Who.

Tengo seis criados honestos (me enseñaron todo lo que sé); se llaman Qué, Por qué, Cuándo, Cómo, Dónde y Quién.

No es una norma de seguridad. Es más antiguo que eso, y mejor: el instinto antes del marco. No aceptar la superficie. Hacer las preguntas que vuelven un relato contestable — qué es, por qué está aquí, cuándo se movió, cómo llegó, dónde ha estado, quién lo tocó — y no parar hasta que cada una tenga una respuesta que alguien distinto del narrador pueda comprobar.

Durante veinte años, ese fue mi trabajo, en un campo que tiene sus propios nombres para las seis preguntas. Trabajé en ciberseguridad, y en concreto en cortafuegos — los sistemas que deciden qué puede pasar entre dos redes, y en qué condiciones. La disciplina creció en cuatro pasos, y yo crecí con ella. Primero aseguramos el canal: quién podía hablar con quién, por qué puerto, con qué protocolo — el perímetro, y poco más. Después aprendimos a mirar dentro del tráfico y no solo su envoltorio, porque un canal permitido que transporta el contenido equivocado sigue siendo un ataque. Después invertimos la regla por defecto: en lugar de bloquear lo que sabíamos que era malo, permitimos solo lo que sabíamos que era correcto, y cerramos todo lo demás. Y al final aprendimos que los mismos datos, de la misma identidad, pueden ser legítimos a las nueve de la mañana y una brecha a las tres, de modo que la decisión pasó del paquete a su contexto — quién, desde dónde, con qué, comportándose cómo. Ese es el camino que termina en la confianza cero, y es el camino que esta nota recorre con una botella en la mano.

A lo largo de él, el trabajo nunca cambió: asegurar que cada dato llega intacto, de la fuente correcta, y que cinco cosas sobre él pueden demostrarse en lugar de suponerse. Quién inició la comunicación — y que sea siempre la misma identidad; la disciplina lo llama autenticación. A qué puede acceder esa identidad — y que sus permisos nunca crezcan en silencio; autorización. Cómo se comporta — porque una identidad auténtica y autorizada que de pronto actúa de otra manera es la señal de compromiso más antigua que existe, y la respuesta correcta no es la curiosidad sino una puerta cerrada. Que nada se alteró por el camino — integridad. Y que quien lo inició sea siempre el mismo y quede escrito en el registro con su propio nombre, de modo que el acto no pueda negarse después — no repudio. Todo lo demás del campo descansa sobre esas cinco, y ninguna tiene nada que ver con que los datos sean creíbles. Unos datos creíbles son lo más fácil del mundo de falsificar o de manipular. La disciplina entera descansa sobre lo que puede verificar alguien que no estaba presente: que los datos están intactos, y que son los datos que envió el remitente. Vive en lo que puede verificar alguien que no estaba en la sala.

Su regla cabe en un candado: la confianza sin evidencia no es confianza. Es esperanza.

Después empecé a coleccionar vino, y encontré un mercado que funciona con esperanza y excelentes modales. Una botella llega con un relato. El relato lo cuenta un comerciante, un catálogo, un amigo en una cena, una etiqueta. El relato es a menudo verdadero. Pero un mercado en el que el relato es a menudo verdadero es exactamente el mercado en el que un relato falso hace más daño — porque nadie quiere comprobar, porque comprobar parece descortés, porque los últimos diez relatos eran buenos.

Las seis preguntas no son descorteses. Son el principio del respeto.

El centro blando

La gente de seguridad tiene un nombre para un mundo que confía con demasiada facilidad. Lo llaman el perímetro. El modelo antiguo era simple: fuera era peligroso, dentro era seguro, y una vez que algo cruzaba la línea — una contraseña, una máquina, una persona, una botella — el sistema se comportaba como si perteneciera.

En 2010, John Kindervag, de Forrester, publicó un artículo con un título poco serio y un argumento muy serio: No More Chewy Centers. La seguridad de las empresas, sostenía, se había construido como un caramelo — una cáscara dura alrededor de un centro blando. Bastaba atravesar la cáscara, con una contraseña robada o un portátil infectado, para que el sistema ya hubiera decidido que uno pertenecía. Su respuesta fue un modelo en el que no hay un interior de confianza. Nada se cree por el lugar en el que está. Cada petición, de cualquiera, desde cualquier sitio, se verifica como si fuera la primera. Lo llamó confianza cero (zero trust). En 2020 el organismo de normalización de Estados Unidos, el NIST, lo convirtió en arquitectura formal, y su definición merece tenerse a la vista porque describe también la debilidad más antigua del comercio del vino: no se concede ninguna confianza implícita por la ubicación física o de red.

Léase con una botella en mente. El comercio del vino siempre ha concedido la confianza por la ubicación. Dentro del perímetro — la casa de subastas correcta, la cena correcta, la bodega correcta, el acento correcto — la botella se cree. El trabajo del falsificador no es solo imitar vidrio, papel y corcho; es entrar en ese perímetro, y no salir nunca. La Field Note N.º 019 siguió uno de esos casos desde el expediente público: un hombre que permaneció dentro del perímetro ocho años y vendió, según el propio recuento de la fiscalía, más de veinte millones de dólares en botellas que eran relatos. Las botellas no se movían a través del vidrio y el corcho. Se movían a través de la reputación.

Esa fue la brecha. Y creer no es autenticar; la reputación no es un registro.

Una etiqueta es una afirmación de identidad

En seguridad, un nombre de usuario no es una persona. Es una afirmación de ser una persona. Cualquiera puede teclear uno. Lo que separa una afirmación de una identidad es la autenticación: algo que quien afirma puede presentar, comprobado contra una fuente que no controla.

Una etiqueta es un nombre de usuario. Afirma un productor, un viñedo, un año. La afirmación puede ser verdadera, y la mayoría de las veces lo es. Pero la etiqueta no puede autenticarse a sí misma, y tampoco pueden el corcho, la cápsula, el lacre o el vidrio: también son objetos hechos por alguien, alterados por alguien, copiados por alguien, creídos por alguien. Cuando el comercio dice que una botella «tiene buen aspecto», puede estar diciendo solo que el nombre de usuario está bien escrito.

La autenticación tiene que venir de fuera de la botella. En abril de 2008 vino de los registros de un domaine. Domaine Ponsot no había empezado a embotellar en la propiedad hasta 1934 y no había elaborado Clos Saint-Denis hasta 1982; un 1929 no podía existir, y tampoco un Clos Saint-Denis de los años cuarenta, cincuenta o sesenta. Esos hechos vivían en un lugar que el vendedor no controlaba. Eran el proveedor de identidad. Todo lo demás en aquella sala de subastas — el catálogo, la estimación, la confianza del público — era el centro blando.

La procedencia es autenticación. La custodia es el registro.

Una botella es un mensaje. Se envía desde una propiedad hasta una mesa, a veces a través de cuarenta años y una docena de manos, y todo lo que mi antigua disciplina exige a un mensaje hay que exigírselo a una botella. La etiqueta es el remitente declarado; la procedencia es su autenticación — la prueba de que la afirmación es verdadera, y de que ha sido la misma afirmación en cada paso. La custodia es su autorización y su integridad: quién podía tenerla y moverla, en qué condiciones, y la prueba de que nada se alteró por el camino — ningún rellenado, ningún reetiquetado, ningún verano sin registrar en un garaje. El registro es su no repudio: el historial que nadie en la cadena puede negar después, porque cada asiento lo escribió alguien a quien se puede preguntar.

Y luego está el comportamiento, que el comercio del vino casi nunca comprueba y mi disciplina no deja nunca de comprobar. Una identidad auténtica con los permisos correctos que empieza a actuar fuera de su carácter se bloquea primero y se interroga después. Una botella también tiene carácter: un nivel de llenado que concuerda con su edad, un formato que el domaine realmente embotelló, una cápsula de su época, una ruta por canales que tienen sentido para lo que es. Un mágnum de una casa que nunca embotelló mágnums, un 1929 de una propiedad que embotella desde 1934, un Borgoña excepcional que aparece una y otra vez a través del mismo amigo discreto — son anomalías de comportamiento, y la respuesta correcta es la que da la disciplina: cuarentena, no el beneficio de la duda.

Los cuatro pasos de mi antiguo oficio se aplican en el mismo orden. Asegurar el canal: una botella se mueve de depósito a depósito, bajo régimen aduanero, y nunca por una puerta que no deja registro. Mirar dentro: el objeto se lee contra su propia historia — llenado, cápsula, etiqueta, vidrio — y no contra el relato que lo acompaña. Invertir la regla por defecto: una bodega no bloquea las botellas que sabe que están mal; admite solo las botellas cuyo registro puede verificar, y todo lo demás espera fuera. Y juzgar el contexto: la misma botella, del mismo vendedor, puede ser correcta en un canal y una anomalía en otro.

Las arquitecturas de seguridad que se tomaron en serio a Kindervag dejaron de hacer una sola pregunta — ¿dónde estás? — y empezaron a hacer las de Kipling. Los ingenieros de Google, al describir su propia migración en 2014, lo dijeron con claridad: el acceso depende de lo que se sabe del usuario y del dispositivo, no de la red desde la que llega la petición. Aplicado a una botella: ¿quién la tiene ahora, y puede demostrarse en lugar de decirse? ¿Qué se afirma exactamente? ¿Cuándo se movió? ¿Dónde ha estado desde que salió de la propiedad, y existe cada paso como documento, o solo como frase? ¿Cómo se guardó? ¿Y por qué debería creerse el registro — quién lo controlaba?

La primera de esas preguntas es la procedencia. La cadena de movimientos es la custodia. El estado del objeto frente a su propia historia es la condición. No son tres palabras para lo mismo. Una botella puede tener una procedencia sólida y una custodia rota: salió de una gran bodega y pasó después cuatro años en un lugar que nadie anotó. La etiqueta sobrevivió a eso. El registro, no.

La intuición de la seguridad es que el registro no es papeleo alrededor del activo. El registro es parte del activo. Un historial que no puede reescribirse en silencio es lo que separa la custodia del relato — y los pasos que no existen en él no son huecos en el papeleo. Son el hallazgo.

Por eso este archivo se lleva como se lleva: cada botella un registro, cada movimiento un asiento, cada afirmación con su fuente. Una botella excepcional sin custodia es solo una historia. No es un eslogan. Es la definición de lo que se guarda.

Asumir la brecha

Hay un principio más de la confianza cero que el comercio del vino rara vez dice en voz alta en una cena. Asumir la brecha. No que pueda ocurrir: que ya ha ocurrido, en algún lugar del sistema, y que el trabajo consiste en limitar hasta dónde alcanza.

El mercado del vino ya tiene su versión de ese hecho, en el expediente. En diciembre de 2015 los U.S. Marshals destruyeron más de quinientas botellas de la bodega de Kurniawan clasificadas como falsificadas o invendibles, después de sacar a subasta otras 4.711, consideradas auténticas, para las víctimas. Años después, como recoge la Field Note N.º 019, una declaración judicial situó, según se informó, cientos de botellas más propiedad de Kurniawan bajo custodia de Christie’s, en Londres y Ginebra — y el expediente público no permite a nadie decir si son auténticas, falsas o una mezcla. Ese es el punto. Los falsos están en el sistema. La posición honesta no es esperar no encontrarse nunca con uno; es construir la bodega de modo que encontrarse con uno cueste lo menos posible.

Eso es lo que la disciplina llama segmentación: cada botella su propio registro, para que una botella mala no pueda contaminar la credibilidad de las demás. Mínimo privilegio: ningún movimiento sin asiento, ningún asiento sin fuente. Verificación en la puerta, no en la mesa: las comprobaciones se hacen cuando la botella cambia de manos, porque después la única prueba que queda puede ser abrirla. E integridad de salida: una botella puede vivir veinte años en custodia profesional y perder parte de su registro en el último movimiento. La última transferencia importa tanto como la primera, y por eso la salida, cuando ocurre, debe preservar la custodia en lugar de interrumpirla.

De custodia a custodia. De registro a registro. La botella, al final.

Qué cambia esto para un coleccionista

El poema da las preguntas. La confianza cero da la disciplina. El vino da el objeto.

Ante una botella seria, haz las seis. Qué se afirma exactamente — productor, cuvée, añada, formato. Por qué debería creerse el registro — quién controlaba la evidencia. Cuándo se movió la botella, y cuántas veces. Cómo se guardó entre movimiento y movimiento. Dónde empieza el registro, y dónde se rompe. Quién la tiene ahora, y si puede demostrarlo.

Y después decide, con los cuatro hábitos que usa la disciplina. Trata la etiqueta como una afirmación, no como un hecho. Pide el registro, no la anécdota. Prefiere la cadena más corta: la mejor procedencia suele ser el relato menos interesante. Y verifica en la puerta, porque el momento de la transferencia es el que escribe al siguiente propietario en la historia de la botella.

Nunca te fíes de la etiqueta. Verifica la cadena.

Sigue leyendo: La botella como superficie de ataque — el mismo sistema, desde la silla del atacante.

Fuentes y lecturas

1. Kipling, R., «The Elephant’s Child», Just So Stories (1902). El verso «I keep six honest serving-men» cierra el cuento. Dominio público; traducción nuestra.
2. Kindervag, J. y Balaouras, S., No More Chewy Centers: Introducing the Zero Trust Model of Information Security, Forrester Research, 2010.
3. Rose, S., Borchert, O., Mitchell, S. y Connelly, S., Zero Trust Architecture, NIST Special Publication 800-207, agosto de 2020. doi.org/10.6028/NIST.SP.800-207
4. Ward, R. y Beyer, B., «BeyondCorp: A New Approach to Enterprise Security», ;login: (USENIX), vol. 39, n.º 6, diciembre de 2014, pp. 6–11.
5. The Jericho Forum, Commandments, versión 1.2, 2007. El argumento anterior a favor de la «desperimetrización» sobre el que se construye la confianza cero.
6. Fiscalía Federal, Distrito Sur de Nueva York — comunicado de imputación, 8 de marzo de 2012. Domaine Ponsot: embotellado en la propiedad desde 1934; Clos Saint-Denis elaborado por primera vez en 1982. justice.gov/archive/usao/nys/pressreleases/March12/kurniawanrudycharges.html
7. Fiscalía Federal, S.D.N.Y. — comunicado de sentencia, 7 de agosto de 2014; memorándum de sentencia del Gobierno, ECF n.º 122, 12 de mayo de 2014. La estimación de la fiscalía de unos 20,7 millones de dólares en vino falsificado vendido, según la cobertura de Wine Spectator y Wine-Searcher (2014).
8. U.S. Marshals Service — comunicado del 7 de diciembre de 2015 y fotografías oficiales del 10 de diciembre de 2015, Creedmoor, Texas. 4.711 botellas consideradas auténticas ofrecidas en subasta; más de 500 falsificadas o invendibles destruidas.
9. Field Note N.º 019, Las botellas que siguen en la cámara. El expediente completo del caso, incluida la declaración de 2020 y los límites del registro público.

Sobre el método

Kipling aporta el marco: seis preguntas honestas. Forrester, NIST, USENIX y el Jericho Forum aportan la arquitectura de seguridad; autenticación, autorización, verificación del comportamiento, integridad y no repudio se usan aquí en su sentido técnico; el relato en cuatro pasos de la evolución de los cortafuegos — canal, contenido, denegación por defecto, contexto — es el resumen que el autor hace de su propio campo. Las afirmaciones sobre Rudy Kurniawan y Domaine Ponsot proceden del expediente legal público y de la Field Note N.º 019. La analogía es mía. Los hechos, no.