Huella (fingerprint)

En seguridad de datos, la palabra huella cubre tres cosas distintas, y confundirlas lleva a políticas equivocadas. La idea es siempre la misma: a partir de algo más grande se deriva un valor corto para poder reconocerlo después. Lo que cambia es qué recibe la huella y cómo se calcula el valor.

Los dos primeros significados son los más importantes para la prevención de pérdida de datos, porque reconocen documentos protegidos. El tercero describe sistemas, no documentos, y sirve para la identificación y el inventario.

La huella de contenido no guarda el documento en sí. El método está pensado para material que ha sido editado o reutilizado en parte, justo donde fallan las comprobaciones simples de archivos. En Anexet este método se configura como huella digital y se ejecuta en cuatro etapas.

El beneficio es práctico: un extracto pegado en un correo sigue coincidiendo con su original, y una plantilla hecha con un formulario vacío coincide con cada copia completada de ese formulario.

1. 1

   Normalizar el texto

   Quite el formato y reduzca el documento a texto comparable, para que los cambios de diseño no afecten al resultado.

2. 2

   Calcular hashes de fragmentos superpuestos

   Calcule hashes sobre partes superpuestas del texto. Solo se guarda ese conjunto de valores.

3. 3

   Comparar el contenido nuevo

   Los correos salientes, las cargas de archivos y los mensajes pasan por el mismo proceso y se comparan con el conjunto guardado.

4. 4

   Actuar según la coincidencia

   Una superposición importante indica que hay material protegido, y la regla bloquea, registra o alerta.

Un hash criptográfico se calcula sobre el archivo completo, y el valor resultante se guarda en un banco de hashes. Responde a una pregunta con certeza: ¿es este el mismo archivo, byte por byte? Los hashes son baratos de calcular y comparar, y no producen falsos positivos.

Esa misma precisión es su límite. Guardar el documento en otro formato o cambiar un carácter produce un valor totalmente distinto, y no hay coincidencia. Los hashes funcionan bien como primer filtro y en la verificación de integridad de archivos, pero no siguen el contenido que ha sido reescrito.

Las huellas registradas se guardan en bancos de datos. El Administrador de huellas muestra cada banco con su tamaño, número de documentos y fecha de la última actualización, para que el administrador vea qué está protegido y qué tan actual es el conjunto de referencia. Un banco que nunca se actualiza protege un conjunto de documentos cada vez más histórico.

Este significado comparte la metáfora con los otros, pero no el mecanismo. La huella de un dispositivo o de un navegador es un perfil formado por rasgos observables del sistema: identificadores de hardware, componentes instalados, configuración de pantalla e idioma y atributos de red. No se deriva nada del contenido protegido, y el objeto es un sistema, no un documento.

Los defensores la usan para la identificación de dispositivos y el inventario de equipos, por ejemplo en el inventario de hardware. Los atacantes usan perfiles parecidos para seguir a los usuarios sin cookies, por eso el término necesita una definición precisa en cualquier programa de seguridad.

Los métodos se complementan. Los hashes son el primer filtro más barato, las huellas de contenido detectan lo que la edición ocultaría, y una lista de palabras prohibidas cubre el material sensible que nadie registró de antemano.

Todos los métodos de huella son unidireccionales. El original no puede reconstruirse en la práctica a partir del valor derivado, así que el sistema de detección puede reconocer contenido regulado sin conservar una segunda copia. Eso es una ventaja de privacidad, y también la razón por la que el conjunto de referencia hay que mantenerlo.

Las huellas solo funcionan con datos que pueden leer. El contenido convertido en imagen necesita antes reconocimiento de texto, y el contenido muy cifrado o parafraseado queda fuera de la coincidencia. Tampoco describen cada intento de exfiltración de datos, así que funcionan mejor junto con otros controles.

Empiece por registrar los documentos cuya fuga causaría más daño, como contratos, código fuente y datos de clientes. Un banco construido con esos archivos reconoce las copias que han sido editadas o reutilizadas.

Después revise el banco con regularidad, porque el conjunto de referencia es tan actual como su último registro.

Lectura recomendada: Cifrado, codificación y hashing: ¿cuál es la diferencia?.