Modelo de seguridad y cifrado
Principios
El modelo de seguridad de Ubidesk se apoya en tres principios:
- Un único canal: todo el tráfico, consola, agentes y clientes, pasa por el puerto 443. No se abre ningún otro puerto hacia la plataforma.
- Sin secretos de larga duración en las sesiones: cada sesión negocia sus propias claves.
- Trazabilidad a prueba de manipulaciones: cada acción queda registrada en un registro encadenado por hash.
Transporte
Las conexiones usan TLS 1.3. No se aceptan versiones anteriores del protocolo. En la práctica:
- el puerto 443 basta, incluso detrás de un cortafuegos de salida restrictivo o un proxy;
- los certificados se verifican en ambos lados;
- no hay alternativa en texto plano: una conexión que no puede negociar TLS 1.3 falla en lugar de degradarse.
Cifrado de las sesiones
Cada sesión remota se cifra con AES-256-GCM, un cifrado autenticado que protege a la vez la confidencialidad y la integridad del flujo.
Las claves se derivan de un intercambio ECDH por sesión: la clave de sesión solo existe mientras dura la sesión, nunca se almacena, y comprometer una clave no compromete las demás sesiones.
Autenticación de los técnicos
La MFA es obligatoria en todas las cuentas de técnico, en todos los planes:
- códigos TOTP de una aplicación de autenticación;
- passkeys, sincronizadas o vinculadas a un dispositivo;
- llaves de seguridad FIDO2.
En el plan Business, la autenticación puede pasar por un proveedor de identidad mediante SSO SAML u OIDC. La MFA sigue siendo obligatoria aunque el SSO esté activado.
Registro de auditoría
El registro guarda los eventos de sesión y de administración: inicios de sesión, sesiones abiertas y cerradas, transferencias de archivos y confirmaciones, cambios de configuración.
Está encadenado por hash: cada entrada referencia la huella de la anterior. Alterar cualquier entrada rompe la cadena, lo que hace detectables las manipulaciones.
El registro se puede exportar a un SIEM en formato Syslog y a las integraciones de Splunk y Microsoft Sentinel.
Residencia de los datos
Los datos del espacio de trabajo se alojan en una región elegida entre la Unión Europea, Canadá y Estados Unidos. La elección se hace al crear el espacio y determina dónde se almacenan los metadatos, los registros y las grabaciones de sesión.
Transferencia de archivos y consentimiento
Ninguna transferencia de archivos empieza sin la confirmación explícita del usuario. La confirmación es archivo por archivo, queda registrada y el técnico no puede saltársela.
Grabación de sesiones
La grabación de sesiones, disponible a partir de Pro, se almacena en la región de residencia del espacio. Avisa al usuario antes de empezar a grabar. Las grabaciones solo se crean cuando un técnico inicia una, y solo en los planes que incluyen la función.
Modelo de amenazas
Estos mecanismos defienden contra amenazas concretas:
- Interceptación: TLS 1.3 en el puerto 443 impide la escucha pasiva y los ataques de degradación en el transporte.
- Compromiso de una clave de sesión: las claves ECDH por sesión limitan el alcance de una clave filtrada.
- Robo de cuenta: la MFA obligatoria bloquea los ataques basados solo en contraseña; FIDO2 y passkeys también resisten el phishing.
- Manipulación interna: la cadena de hash hace detectables las ediciones silenciosas del registro de auditoría.
Lo que no hacen: proteger una máquina con credenciales locales débiles, ni a un usuario que da el control a alguien en quien no debería confiar. Esa parte la cubre la guía de refuerzo.
Qué sigue siendo responsabilidad tuya
La seguridad de una sesión también depende de la configuración del equipo: contraseñas locales, bloqueo de pantalla, actualizaciones del sistema operativo. Consulta la guía Reforzar tu acceso remoto y la página de Trust Layer.
Para la parte programática, consulta API REST: visión general.