Análisis
Últimos artículos
Inteligencia reciente sobre operadores de infraestructura, decisiones de política pública, movimientos de mercado y cambios de poder digital.
Historia de Internet
La respuesta que solo podía nombrar lo que sabía un servidor: por qué DNS retiró IQUERY
Hubo una consulta DNS que llegaba sin pregunta. En su lugar, colocaba un registro de recurso en la sección Answer y pedía al servidor que descubriera los nombres asociados a ese valor. La simetría era atractiva: si una consulta normal iba del nombre al recurso, una consulta…
Expediente
El TXT era correcto. El proveedor seguía sin ser el dominio: DNS-01 y la autoridad de una validación delegada
La empresa cerró las cuentas del proveedor, retiró su secreto de CI y eliminó su acceso al almacén. Pero `_acme-challenge` aún delegaba en una zona suya. Su cuenta ACME pidió un certificado comodín, apareció el resumen TXT esperado y la validación pasó. ACME hizo exactamente lo…
Expediente
Un presupuesto que puede apagar un vecino: autoridad y riesgo en BGP maximum-prefix
La función maximum-prefix suele describirse como un freno ante una tabla inesperadamente grande. Sin embargo, el freno no siempre rechaza solo el exceso: puede cerrar la sesión que transporta también todas las rutas anteriores. Gobernar ese límite exige saber qué cuenta, qué…
Historia de Internet
El acuse que no podía nombrar el paquete: cómo Karn enseñó a TCP a rechazar una medición
El mismo tramo de bytes sale dos veces: primero como transmisión original y después, al vencer el temporizador, como retransmisión. Llega un único ACK y la ventana avanza. La entrega es visible; el origen temporal no. El algoritmo de Karn convirtió esa diferencia en una norma de…
Expediente
La respuesta DNS era segura. Elegir el host seguía siendo política: SSHFP y la autoridad de una huella
Un operador escribió `ssh db`. El sufijo de búsqueda recibido de la red convirtió ese nombre corto en otro nombre completo. El RRset SSHFP era DNSSEC Secure, la huella coincidía y el servidor poseía la clave privada. Todas las pruebas eran correctas para el host elegido por el…
Expediente
La firma pasó, pero From no era el firmante: DKIM y la autoridad de una firma de dominio
El correo presentaba `bank.example` como dominio From y superaba DKIM. La firma válida pertenecía, sin embargo, a `receipt-alert.example`, controlado por el atacante. La criptografía acertó; el sistema regaló el resultado a otro nombre.
Expediente
El resumen coincidía; el remitente seguía sin identificar: `Content-Digest` y la autoridad de una suma HTTP
El archivo no sufrió ninguna alteración durante el viaje. Era dañino desde el principio y llevaba un `Content-Digest` calculado con absoluta corrección. El servicio confundió esa coincidencia matemática con permiso para ejecutar el cambio.
Historia de Internet
La máscara que el silencio calculó mal: cómo ICMP inició una subred
Un host acaba de arrancar con dirección IPv4, pero aún no sabe qué destinos están en su propio cable. Difunde una pregunta por la máscara y no recibe respuesta. La especificación antigua le permite usar provisionalmente la máscara sin subred de la clase de dirección, aunque…
Expediente
La cabecera nombró al cliente; el par de red no lo confirmó: `Forwarded` y la autoridad de la cadena proxy
El origen debía estar aislado tras dos proxies inversos, pero conservaba una ruta directa. Alguien llegó por ella, escribió una dirección administrativa permitida al principio de `X-Forwarded-For` y superó el control por IP. La cadena era fácil de analizar y la dirección era…
Expediente
El nombre eligió el contexto TLS, no el permiso: SNI y la autoridad de una pista de enrutamiento
La prueba de penetración no robó una clave ni alteró un certificado. Solo escribió `tenant-a.example` en ClientHello. El balanceador cargó el certificado de ese cliente empresarial y el sistema de políticas confundió la selección con identidad. Una cadena que debía ordenar…
Historia de Internet
La etiqueta que un cortafuegos no podía borrar sin riesgo: la opción de seguridad IPv4 en redes cerradas
Un cortafuegos elimina una opción que parece antigua y el paquete sigue adelante. Sin embargo, en una red multinivel esa limpieza puede alterar el significado operativo de los datos: el receptor quizá rechace el paquete ya sin etiqueta o le asigne la sensibilidad implícita de la…
Expediente
La firma del certificado pasó; el handshake no: TLS 1.3 `Finished` y la autoridad del transcript
El tablero contó una conexión segura en cuanto validó CertificateVerify. El siguiente mensaje, `Finished`, no coincidió y el cliente cerró con `decrypt_error`. La clave del certificado había demostrado posesión; la operación había convertido ese dato en una finalización que aún…
Historia de Internet
El token que probaba un camino de regreso: DNS Cookies sin identidad
Una pequeña opción de EDNS permitió que un servidor DNS extrajera una conclusión estrecha de una dirección de origen UDP: no quién enviaba la consulta, sino que alguien en esa dirección aparente había recibido una respuesta anterior y podía devolver un token creado por el…
IETF
El paquete marcado antes de perderse: la larga discusión de ECN sobre la congestión
ECN introdujo una idea poco intuitiva en Internet: un router puede advertir de la congestión sin destruir el paquete que transporta el aviso. Dos bits bastan para codificar la señal, pero no para garantizar su significado; eso exige cooperación entre la cola, el receptor, el…
Historia de Internet
La prueba que triunfaba sin decir nada: qué podía demostrar Discard
El emisor entrega bytes al puerto 9 y no recibe un “correcto”, una suma ni un contador. Según RFC 863, eso es lo esperado: Discard elimina los datos y no contesta. La ausencia puede facilitar una prueba unidireccional, pero no demuestra por sí misma que el proceso remoto haya…
Expediente
El borde acordó HTTP/2; el origen nunca dejó HTTP/1.1: hasta dónde llega la autoridad de ALPN
El cliente ofreció `h2` y `http/1.1`; el borde escogió `h2`, terminó TLS y atendió flujos HTTP/2 válidos. El panel trasladó ese dato a la ficha del origen y lo llamó «HTTP/2 nativo». Pero el borde abría otra conexión hacia atrás y enviaba HTTP/1.1. La negociación observada era…
Historia de Internet
La respuesta del reloj sin gramática: Daytime estaba hecho para personas
El servidor de puerto 13 responde y la red no ha fallado. Sin embargo, otro servidor puede escribir la misma hora con campos, año y zona distintos sin infringir la norma. Daytime estandarizó el acto de contestar; dejó deliberadamente fuera la sintaxis que un programa necesitaría…
Expediente
La CA estaba en la lista; la identidad, no en la autorización: el límite de `certificate_authorities` en TLS
El cliente eligió un certificado porque su cadena coincidía con un nombre de CA anunciado por el servidor. La verificación criptográfica terminó bien. Aun así, la aplicación negó la operación: aquel sujeto no tenía relación con el inquilino solicitado. La lista había cumplido su…
Expediente
La firma era válida; el estado ya no era actual: autoridad y caché en OCSP stapling
A las 10:07 se revocó el certificado. A las 10:11 el servidor seguía entregando una respuesta OCSP `good`, firmada correctamente y con un `nextUpdate` aún lejano. No era una falsificación: era una afirmación auténtica que todavía cabía en su intervalo y ya quedaba por detrás del…
Historia de Internet
Las respuestas de una en una que nunca terminaron: el bucle entre Echo y Chargen
Dos timbres mecánicos están conectados de modo que el sonido de uno pulsa el botón del otro. Ninguno toca dos veces por orden; aun así, la sala no vuelve al silencio. Echo y Character Generator reprodujeron ese problema en UDP: una respuesta limitada dejó de ser final cuando…