El dominio 1 de SC-900 (10–15%) pesa poco y es fácil pasarlo por encima, pero el temario oficial enumera como elementos separados "cifrado y hash", "proveedores de identidad", "servicios de directorio y Active Directory" y "federación". Las preguntas llegan en formatos que solo se resuelven con definiciones exactas, como "¿Qué transformación no se puede revertir?" o "¿Qué emite un token al usuario que inició sesión correctamente?".
Este artículo reúne esos cuatro conceptos en un solo lugar. Repasamos el cifrado simétrico y asimétrico y las firmas digitales, el cifrado según el estado de los datos y la administración de claves, el hash y la sal, los tokens y protocolos que usa un proveedor de identidad, la diferencia entre Active Directory Domain Services y Microsoft Entra ID, y las relaciones de confianza de la federación.
---
Cifrado: Legible de Nuevo Solo con la Clave
Una caja cerrada con candado no le sirve de nada a un ladrón sin llave. El cifrado convierte los datos en una forma que las personas no autorizadas no pueden leer ni usar, y para volver a leerlos hay que descifrarlos con una clave secreta. Aunque un atacante intercepte datos cifrados, no le sirven sin la clave.
Cifrado Simétrico vs Asimétrico
| Aspecto | Cifrado simétrico | Cifrado asimétrico | |------|------|------| | Claves | Una sola clave para cifrar y descifrar | Un par: clave pública y clave privada | | Velocidad | Rápido; adecuado para grandes volúmenes de datos | Relativamente lento | | Debilidad o ventaja | Es difícil entregar la misma clave a la otra parte de forma segura | La clave pública se puede compartir libremente, lo que resuelve la distribución de claves | | Uso típico | Archivos en disco, registros de bases de datos | HTTPS, cifrado de correo, firmas digitales |
En el cifrado asimétrico, los datos cifrados con la clave pública solo se pueden descifrar con la clave privada correspondiente. Cualquiera puede cerrar datos con tu clave pública y enviártelos, pero solo tú, que tienes la clave privada, puedes abrirlos. La clave privada no se puede deducir de la pública.
Firmas Digitales
Si se usan las claves asimétricas en sentido contrario, se obtiene una firma digital. Cuando el remitente firma con su clave privada, cualquiera con la clave pública puede confirmar dos cosas.
Que los datos vienen realmente de ese remitente (autenticidad) Que el contenido no cambió después de firmarse (integridad)
Las firmas digitales sirven para verificar descargas de software, autenticar correos y proteger documentos y transacciones electrónicas.
Cifrado Según el Estado de los Datos
| Estado | Significado | Cómo se protege | |------|------|------| | En reposo | Datos guardados en discos, bases de datos o cuentas de almacenamiento | Cifrado para que un soporte robado no se pueda leer sin la clave | | En tránsito | Datos que viajan por internet, entre servicios o por redes privadas | HTTPS con TLS, conexiones VPN | | En uso | Datos cargados en memoria y procesados por la CPU | Entornos de ejecución protegidos (enclaves seguros) de la computación confidencial |
Administración de Claves
El cifrado es tan seguro como sus claves. Una clave filtrada anula su propósito, así que conviene seguir estos principios.
Guardar las claves separadas de los datos que protegen Conservarlas en hardware dedicado resistente a manipulaciones (HSM) Rotarlas con regularidad Controlar el acceso a ellas con autenticación fuerte y privilegios mínimos
Azure Key Vault es un servicio de administración de claves en la nube que gestiona claves, certificados y secretos en un solo lugar.
Consejo para el examen: "cierra y abre con la misma clave" es simétrico, "cierra con la clave pública y abre con la privada" es asimétrico, y "firma con la clave privada y verifica con la pública" es una firma digital.
---
Hash: una Huella que no se Puede Revertir
Una huella dactilar confirma que una persona es quien dice ser, pero no se puede reconstruir su cara solo a partir de la huella. El hash es una transformación unidireccional que, mediante un algoritmo, convierte cualquier entrada en una cadena de longitud fija (el hash).
| Propiedad | Descripción | |------|------| | Unidireccional | No se puede recuperar el valor original a partir del hash | | Determinista | La misma entrada con el mismo algoritmo da siempre el mismo hash | | Longitud fija | Sea la entrada un carácter o un libro entero, el hash tiene la misma longitud | | Sin clave | A diferencia del cifrado, no usa ninguna clave |
Almacenamiento de Contraseñas y Sal
Los sistemas guardan solo el hash de la contraseña del usuario, no la contraseña en sí. Al iniciar sesión, la contraseña que escribe el usuario se vuelve a convertir en hash y se compara con el valor guardado, así que aunque roben toda la base de datos, el atacante solo obtiene hashes.
Sin embargo, como los hashes son deterministas, los atacantes pueden calcular de antemano los hashes de millones de contraseñas comunes en tablas (tablas arcoíris) y buscar coincidencias. Para evitarlo, a cada contraseña se le añade un valor aleatorio llamado sal antes de aplicar el hash. Así, dos usuarios con la misma contraseña acaban con hashes distintos y las tablas precalculadas dejan de servir.
| Aspecto | Cifrado | Hash | |------|------|------| | Usa clave | Sí | No | | Recuperar el original | Sí, descifrando con la clave | No | | Longitud del resultado | Varía con el tamaño de la entrada | Siempre fija | | Uso típico | Ocultar datos para guardarlos y transmitirlos | Guardar contraseñas, detectar alteraciones |
!Cifrado simétrico, cifrado asimétrico y hash de un vistazo
Consejo para el examen: si el escenario solo necesita comprobar si dos valores coinciden, sin conocer nunca el original, la respuesta es el hash. La sincronización de hash de contraseñas de Microsoft Entra Connect también sincroniza con la nube un hash de la contraseña, no la contraseña real.
---
Proveedores de Identidad: el Inicio de Sesión en Nombre de Todos
Un hotel no investiga por sí mismo la identidad de sus huéspedes: confía en el pasaporte que emitió un gobierno. La autenticación moderna funciona igual. En lugar de que cada aplicación gestione sus propias cuentas y contraseñas, las aplicaciones delegan la autenticación en un servicio dedicado, el proveedor de identidad (IdP).
Un proveedor de identidad crea y administra la información de identidad y ofrece autenticación, autorización y auditoría a aplicaciones y servicios. Cuando un usuario intenta iniciar sesión en una aplicación, esta lo envía al proveedor de identidad, que comprueba las credenciales y emite un token de seguridad. Como la aplicación confía en el proveedor de identidad, acepta el token como prueba de un inicio de sesión correcto. Microsoft Entra ID es el proveedor de identidad de Microsoft, e iniciar sesión con una cuenta de Google o Facebook funciona con el mismo principio.
Tokens y Notificaciones
Un token lleva datos (notificaciones o claims) como el ID único del usuario, su nombre y correo, sus roles y grupos, y cuándo se emitió y cuándo caduca. Los tokens caducan tras un tiempo, así que un token robado no puede usarse para siempre.
| Token | Significado | Se usa para | |------|------|------| | Token de ID | Prueba de que el usuario inició sesión correctamente (autenticación) | Que la aplicación sepa quién es el usuario | | Token de acceso | Permiso para acceder a un recurso concreto en nombre del usuario (autorización) | Leer un calendario, llamar a una API, etc. |
Protocolos Estándar
| Protocolo | Función principal | Uso habitual | |------|------|------| | OpenID Connect (OIDC) | Autenticación | Aplicaciones modernas en la nube y móviles (basado en OAuth 2.0) | | OAuth 2.0 | Autorización | Acceder a recursos protegidos con tokens de acceso | | SAML | Autenticación y federación | Aplicaciones empresariales, aplicaciones antiguas, federación entre organizaciones |
Un proveedor de identidad central hace posible el SSO, con el que un solo inicio de sesión te da acceso a todas las aplicaciones que confían en ese proveedor, y deshabilitar una cuenta en el proveedor corta de una vez el acceso a todas las aplicaciones conectadas.
Consejo para el examen: una distinción frecuente es que OpenID Connect se usa para la autenticación y OAuth 2.0 para la autorización. Si preguntan quién emite el token, la respuesta es el proveedor de identidad.
---
Servicios de Directorio y Active Directory
Imagina un único libro que combina la plantilla de la empresa con la lista de accesos al edificio. Un directorio es un almacén de información sobre los usuarios, dispositivos, grupos, directivas y aplicaciones de una red, y un servicio de directorio es el software que guarda esa información y responde a "¿Quién es este usuario, a qué grupos pertenece y a qué puede acceder?".
Active Directory Domain Services (AD DS) es el servicio de directorio local de Microsoft, en uso desde Windows 2000 Server, y el servidor que ejecuta AD DS se llama controlador de dominio. Esto es lo que permite hacer AD DS.
Administrar muchos sistemas locales con una sola identidad por usuario Controlar la configuración de los dispositivos de toda la organización con directivas de grupo Autenticar a los usuarios en aplicaciones locales con Kerberos y NTLM Organizar usuarios y equipos en unidades organizativas (OU)
Sin embargo, AD DS se diseñó pensando en equipos Windows dentro de la red corporativa. No admite de forma nativa la autenticación en aplicaciones SaaS, la administración de iOS y Android, protocolos modernos como OAuth 2.0 y OpenID Connect, ni el acceso remoto sin VPN.
| Aspecto | AD DS | Microsoft Entra ID | |------|------|------| | Ubicación | Controladores de dominio locales | Servicio en la nube operado por Microsoft | | Protocolos | Kerberos, NTLM, LDAP | OpenID Connect, OAuth 2.0, SAML | | Administración | Directivas de grupo, unidades organizativas (OU) | Acceso condicional, registros de aplicaciones, direc