En los últimos meses, a medida que el ransomware y los hackers siguen siendo noticia, cada vez escuchamos más preguntas sobre los protocolos de seguridad de las soluciones de acceso remoto, junto con preguntas sobre las vulnerabilidades de las VPN (redes privadas virtuales) y el RDP (protocolo de escritorio remoto). En algunos casos, hemos oído que la gente puede incluso comparar el RDP y su riesgo inherente con las soluciones de Splashtop.
Nuestra CMO, Michelle Burrows, se sentó con el Cofundador y CTO de Splashtop, Phil Sheu, junto con Jerry Hsieh, Director Sr. de Seguridad y Cumplimiento de Splashtop, para ver si las preocupaciones sobre el RDP están justificadas y comparar el RDP con las soluciones de Splashtop.
Michelle: Últimamente he leído mucho sobre el riesgo de utilizar RDP, incluido este reciente artículo de que hablaba de todas las razones por las que RDP no es seguro. ¿Por qué crees también que RDP no es la opción adecuada para las organizaciones preocupadas por la seguridad?
Jerry: Antes de hablar de por qué el RDP supone una amenaza para las empresas y negocios que lo utilizan, hablemos primero de qué es y por qué existe. RDP es una tecnología antigua que se diseñó originalmente para que el personal informático accediera a los servidores sin tener que entrar físicamente en la sala de servidores. Se creó para resolver un problema muy concreto: la sala de servidores suele mantenerse superfría, y además es ruidosa, ya que alberga muchos equipos. Es fácil comprender por qué los informáticos no querrían entrar en esa sala muy a menudo y no digamos ya trabajar en ella. Llega el RDP, que permite al personal informático iniciar sesiones RDP para trabajar en servidores a distancia, sin necesidad de desplazarse a una sala de servidores fría y ruidosa.
Con el tiempo, el personal informático se dio cuenta de que el RDP no era especialmente seguro, por lo que algunos empezaron a añadir otras configuraciones de seguridad, como ACL, políticas de cortafuegos o la instalación de una pasarela VPN para añadir otra capa de seguridad si era necesario acceder al RDP fuera de la red de la empresa. He hablado con equipos que luego piensan que esto es seguro, pero una mala configuración del sistema suele ponerlo en peligro.
Y, como hablamos hace unas semanas en esta entrevista, las VPN tampoco son seguras por bastantes razones. Lo que veo entonces es que los equipos, creyendo que están añadiendo otra pieza a sus cimientos de seguridad, combinan en cambio dos tecnologías que son más antiguas y vulnerables. Es como poner una valla alrededor de tu casa y luego dejar la valla y la puerta principal sin cerrar y abiertas. Ni la valla ni la puerta protegerán los bienes de la casa si ambas se dejan abiertas. Las funciones de seguridad de la VPN no compensan las vulnerabilidades del RDP.
Michelle: Mientras te escucho y todas las razones para no utilizar RDP o una VPN, tengo que preguntarme, ¿por qué los equipos siguen utilizando este tipo de tecnología?
Jerry: La principal razón por la que el personal informático utiliza RDP y RDP más una VPN es porque es más o menos gratis y es fácil. Está integrado en Microsoft, y está ahí para que lo utilices como parte de la utilidad de Windows. Esto significa que los equipos informáticos no necesitan comprar nada especial: viene con tu licencia de Microsoft, aunque RDS (Servicios de Escritorio Remoto) requiere licencias adicionales.
Michelle: Phil, ¿algo que añadir sobre RDP y sus vulnerabilidades?
Phil: En efecto, RDP existe desde hace mucho tiempo, incluso antes de que HTTPS y TLS se convirtieran en el estándar de oro para asegurar el tráfico de Internet. El RDP se diseñó para funcionar a través de un puerto concreto y responderá a cualquiera que le haga un "ping" a través de él. Un ordenador puesto en Internet con este puerto abierto y RDP activo puede empezar a ver ataques en tan sólo 90 segundos. Los atacantes son increíblemente expertos en buscar y encontrar puntos finales RDP vulnerables. Al obtener acceso a un punto final RDP, los atacantes pueden pivotar para acceder a la red corporativa a la que está conectado el ordenador.
Michelle: Dime en qué se diferencia Splashtop de RDP.
Phil: En primer lugar, hemos diseñado Splashtop para que sea nativo de cloud y utilice protocolos de seguridad estándar del sector, como HTTPS y TLS. Los datos se transmiten a través del puerto 443, como todo el tráfico web encriptado estándar actual, y las conexiones son facilitadas por nuestros servidores de retransmisión en todo el mundo. Para nuestros clientes, todo eso significa que no se necesitan puertos especiales y que los cortafuegos no tienen que permitir excepciones especiales. Los ordenadores que utilizan Splashtop no necesitan quedar expuestos en Internet o DMZ para que los malos actores los escaneen y ataquen fácilmente.
Michelle: ¿Significa eso que Splashtop tiene su propia tecnología patentada?
Phil: Sí, tenemos nuestra propia tecnología patentada. Hay muy poco en común entre las arquitecturas de Splashtop y RDP para el acceso remoto. Se me ocurren empresas que han optado por construir sobre RDP, pero nosotros decidimos construir algo único en aras de la seguridad y la experiencia del usuario.
Más allá de la seguridad, este enfoque también permite a nuestros clientes de TI y Help Desk acceder al gran conjunto de dispositivos que no admiten RDP (piensa en Macs, iOS, Android e incluso algunas versiones de Windows), todo ello con el mismo alto rendimiento y usabilidad constantes.
Como última nota sobre el RDP, llevaré un poco más lejos la analogía que hizo Jerry sobre dejar la puerta abierta a los ladrones. Digamos que tienes una casa en la calle y la puerta está abierta y todas tus pertenencias están básicamente a la vista. Aunque toda la zona circundante no sabría que tu puerta está abierta, cualquiera que pase por allí puede saber fácilmente que no hay nadie en casa y que tu puerta está abierta. Es como el RDP. Ahora, coge esta misma casa y ponla detrás de una comunidad cerrada. Pero, deja la puerta abierta de par en par y el portón abierto. Esto es como RDP, más una VPN.
Hagamos esta analogía para comparar cómo funciona Splashtop. Coge esta misma casa y ponla en una comunidad cerrada con guarda. Ahora cierra la puerta y bloquea la verja. El guardia de seguridad está comprobando los permisos de visita. Nadie que esté fuera de la verja puede ver tu casa y sus pertenencias. De hecho, puede que la casa ni siquiera sea visible desde detrás de la verja. Y nadie puede ver tu casa, ni sus pertenencias, ni si estás en casa. Ahora bien, puedes invitar a entrar a una persona concreta, pero no tienes una invitación abierta para que nadie más se asome. Así es como funciona Splashtop a alto nivel.
Michelle: Gracias por las analogías y por tomarte el tiempo de recorrerlo. ¿Puedes indicarme dónde los lectores de nuestro blog pueden obtener más información sobre la seguridad de Splashtop?
Phil: Me encantaría compartir algunos recursos de seguridad con nuestros clientes y futuros clientes. Hemos creado una sección en nuestro sitio web dedicada a la seguridad y a las preguntas que la gente pueda tener. Puedes acceder a él aquí: https://www.splashtop.com/security
