Capítulo 19 — Identidad y criptografía
Mapa de la lección
Lección 19 publicada. Mapa, ejemplo, EX055.
flowchart TD
N0["Resultados de aprendizaje"]
N1["19.1 La identidad en la planta"]
N2["19.2 Hash de la evidencia"]
N3["19.3 Secretos"]
N4["Nota práctica"]
N5["19.1b Certificados y cuentas de emergencia"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX055"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["19.1 La identidad en la planta"]
N2["19.2 Hash de la evidencia"]
N3["19.3 Secretos"]
N4["Nota práctica"]
N5["19.1b Certificados y cuentas de emergencia"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX055"]
[Resultados de aprendizaje]
|
v
[19.1 La identidad en la planta]
|
v
[19.2 Hash de la evidencia]
|
v
[19.3 Secretos]
|
v
[Nota práctica]
|
v
[19.1b Certificados y cuentas de emergencia]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX055]
Resultados de aprendizaje
Usted podrá (1) evaluar la identidad en TO sin atacar la criptografía; (2) usar funciones hash para la integridad de la evidencia; (3) manejar con seguridad las credenciales de ingeniería.
19.1 La identidad en la planta
Pregunte: ¿qué cuentas existen en los HMI, los historiadores y los equipos de ingeniería? ¿Cuáles usan contraseñas compartidas? ¿Cuáles se integran con el directorio del sitio? La MFA en los servidores de salto de L4 es habitual; en un HMI heredado puede ser imposible: documente los controles compensatorios (acceso físico, grabación de sesiones). La revisión de identidades de Lena en ABP enumeró cada cuenta de HMI-1, del historiador y de eng-WS-1, con su responsable y si era compartida. La contraseña compartida de ingeniería fue el hallazgo más claro y se sustituyó por cuentas nominales. Donde no se pudo añadir MFA a un HMI heredado, registró los controles compensatorios, como el acceso cerrado a la sala de control y la grabación de sesiones en el servidor de salto, y nombró a quién los comprueba.
19.2 Hash de la evidencia
Calcule el hash de las exportaciones de configuración y de los archivos de evidencia (SHA-256); guarde los resúmenes en el ticket. Vuelva a calcularlos más tarde para detectar manipulaciones. Acompañe los hashes con el identificador del actor y la versión del permiso de trabajo. Lena calcula el hash de cada exportación del cortafuegos en el momento de recogerla y guarda el resumen en el ticket con la hora, su cuenta y la versión del permiso de trabajo. Las revisiones posteriores vuelven a calcular el hash del archivo almacenado y lo comparan. Una discrepancia se investiga antes de usar la evidencia, porque una exportación modificada podría indicar una manipulación, una edición descuidada o simplemente el archivo equivocado. El manifiesto nombra el algoritmo utilizado.
19.3 Secretos
Las credenciales de ingeniería viven en una bóveda; retiradas de corta duración; rotación al final de la ventana. Nada de secretos en git, en capturas de pantalla ni en el chat. Las cuentas de servicio de los historiadores reciben contraseñas únicas y un uso monitorizado.
Caso sintético — Ashford Batch Plant. Una contraseña compartida de «ingeniero» en eng-WS-1 se sustituyó por cuentas nominales tras la revisión de identidades del CNHP. La retirada de los archivos del proyecto del PLC registra ahora a la persona, no a un mítico usuario compartido.
En ABP, las credenciales de ingeniería del proyecto del PLC-A se retiran de la bóveda para una ventana y se rotan después.
19.4 Errores y límites
Los hashes detectan cambios, no si fueron malintencionados o accidentales. Acompáñelos con los registros de acceso. No intente descifrar hashes de contraseñas de planta en este curso. Un hash coincidente solo demuestra que un archivo no ha cambiado desde que se calculó su hash, no que se recogiera legalmente ni que se interpretara correctamente. Lena acompaña las comprobaciones de hash con el registro de acceso del almacén de evidencia, que muestra quién tocó cada archivo y cuándo. Los hallazgos sobre contraseñas se notifican a partir de la configuración y de las listas de cuentas; descifrar hashes queda fuera del programa y fuera de cualquier permiso que ella tenga.
Nota práctica
Las cuentas de emergencia para situaciones críticas de la planta necesitan doble control para recuperarlas y rotación automática tras su uso. Una contraseña de emergencia sin usar pegada bajo un teclado no es un control.
19.1b Certificados y cuentas de emergencia
Para los historiadores y servidores de salto con TLS, registre los certificados presentados bajo autorización. Los certificados caducados o que no coinciden son hallazgos de operaciones. El registro de certificados de Lena enumera, para cada equipo, el sujeto, el emisor, la fecha de caducidad y la fecha de observación, de modo que un certificado a punto de caducar en la réplica del historiador se convierte en un ticket con fecha y no en una interrupción por sorpresa. Prefiera SHA-256 para los manifiestos de evidencia; documente el algoritmo en el manifiesto.
La elección del algoritmo de los manifiestos es un campo de versión, no un cambio silencioso a mitad de ventana. Cuando cambia el algoritmo, los manifiestos existentes conservan su campo de algoritmo original y se vuelven a calcular en un manifiesto nuevo en lugar de editarse.
Ejercicios — capítulo 19
- EX055 — Preguntas. Cinco preguntas de identidad para los equipos de ingeniería de ABP. Rúbrica: 3 = cinco concretas; 2 = tres; 1 = una; 0 = nada.
- EX056 — Hash. ¿Qué hace cuando el hash de una exportación sellada del cortafuegos no coincide? Rúbrica: 3 = restaurar/volver a exportar, investigar las escrituras, hallazgo de proceso; 2 = solo el archivo; 1 = vago; 0 = ignorarlo.
- EX057 — Regla sobre secretos. Política en una línea para las contraseñas de proyectos de PLC en los tickets. Rúbrica: 3 = nunca en el ticket; referencia a la bóveda; 2 = no compartir; 1 = débil; 0 = permite pegarlas.
Síntesis del capítulo
Lea la configuración de identidades; calcule el hash de la evidencia; guarde los secretos en una bóveda.
Siga estudiando — capítulo 19 de 50
← Capítulo 18 (borrador) · Índice de capítulos del curso · Capítulo 20 (borrador) →