Tener varias delegaciones, teletrabajar, viajar por negocios… la necesidad de compartir información de forma totalmente segura en la red se ha convertido en un dolor de cabeza para la mayoría de las empresas. Pero DinoSec, junto a Juan José Torres, ha desarrollado una solución on line que está triunfando en el mundo empresarial: GuardedBox.
Hace unos días os hablábamos en este mismo blog de GuardedBox, pero hoy damos un paso más y entrevistamos a Mónica Salas y Raúl Siles, analistas de seguridad y fundadores de DinoSec y a Juan José Torres, creador original de GuardedBox.

¿Cómo nació DinoSec y cuáles son los principales servicios que ofrece?
DinoSec nació hace más de diez años para ofrecer servicios técnicos avanzados personalizados de seguridad informática en entornos complejos que requieren de un alto grado de conocimiento técnico y de la aplicación de tecnologías innovadoras, queriendo dar un paso más ante la creciente demanda de servicios de ciberseguridad en todos los ámbitos.

Ofrecemos servicios avanzados de análisis e investigación sobre la seguridad de nuevas tecnologías antes de que las implante el cliente, cursos de formación técnicos especializados, y servicios ofensivos mediante análisis, auditorías y pruebas de intrusión multiplataforma y/o basadas en tecnologías específicas para todo tipo de entornos.

¿Podríais resumirnos vuestros principales logros a lo largo de esta ya larga trayectoria?
La mayoría de los análisis y actividades que realizamos no pueden ser desveladas públicamente. Sin embargo, de manera general, nuestros principales logros son la seriedad y profesionalidad a la hora de realizar nuestros servicios. Siempre seguimos aprendiendo y ampliando nuestras habilidades, capacidades y conocimientos, para aplicarlos con una alta profesionalidad y exigencia en nuestros servicios. Nuestros clientes buscan la excelencia y reconocen y valoran como hacemos las cosas, por eso contamos con su confianza, ganada y consolidada a lo largo de los años.

La estrella actual de la empresa es GuardedBox, esta solución on line de almacenamiento seguro de información secreta. ¿Cómo desarrollasteis esta idea y cuánto tiempo os ha ocupado hasta tenerla en el mercado?
DinoSec es una compañía de servicios profesionales y GuardedBox es el primer producto o servicio que lanzamos, y donde estamos poniendo parte de nuestros esfuerzos durante este año 2020. La idea partió de nuestro compañero Juan José Torres como propuesta de participación en el Hackathon de CyberCamp 2018, donde llegó con una versión funcional básica que principalmente tenía características de almacenamiento y gestión de secretos y unas capacidades para compartir entre individuos limitada. Posteriormente el proyecto evolucionó con nuevas capacidades en su participación en el Hackathon de CyberCamp 2019.

DinoSec se unió a la iniciativa a principios de 2020, porque nos pareció una solución que, evolucionada y madurada, cubría varias necesidades fundamentales de todo el sector, no solo de la industria de ciberseguridad, sino de cualquier organización e individuo: además del almacenamiento seguro, permite la compartición entre usuarios y grupos con el mismo nivel de seguridad, que nunca trasciende del lado del cliente, y constituye un panel de control para la gestión de cómo y con quién se comparte o se compartió información secreta.

¿La crisis sanitaria de la COVID-19 tuvo su papel en el lanzamiento de GuardedBox?
La idea original era evolucionar el producto para ofrecerlo al mercado al alcanzar un nivel de funcionalidad mayor, pero la crisis sanitaria del COVID nos llevó a tomar la decisión de acelerar su lanzamiento inicial, porque constatamos que las condiciones de teletrabajo impuestas sin planificación habían descontrolado el modo en que la sociedad y las organizaciones estaban intercambiando secretos por las vías más inseguras. Así que decidimos proporcionar a la comunidad un mecanismo seguro de compartición de secretos.

«GuardedBox es una solución web,
accesible mediante cualquier navegador,
para el almacenamiento, protección y compartición
de secretos, es decir, para la gestión
centralizada y homogénea de secretos.»

¿Qué es exactamente y cómo funciona?
En una frase, GuardedBox es una solución de código abierto pensada para que, sin necesidad de instalar, mantener, o actualizar ningún tipo de aplicación en el lado cliente, sea posible acceder a tus secretos sin más que disponer de un navegador web y acceso a tu e-mail (necesario únicamente para el doble factor de autentificación). Una vez dentro del entorno, el interfaz de usuario ofrecido por el código JavaScript que corre en el navegador web proporciona capacidad para consultar, crear, eliminar y, muy importante, compartir o descompartir en un par de clicks cualquier secreto con cualquier otro usuario de GuardedBox.

¿Por qué es tan seguro?
Los secretos solo viven temporalmente en la memoria asociada a la pestaña del navegador web, y se destruyen cuando la sesión se cierra, eliminando cualquier rastro de tus secretos en el dispositivo cliente (móvil u ordenador). El resto del tiempo permanecen almacenados cifrados, sólo accesibles para su propietario (o aquel con quien éste los haya compartido), en el lado servidor.
El que sea de código abierto es uno de los elementos que, a nuestro juicio, lo hacen más atractivo, ya que cualquier persona puede confirmar que se hace uso de las mejores prácticas y estándares criptográficos y de desarrollo y despliegue de software, así como corroborar y cotejar mediante su código fuente que la solución (o sus responsables, DinoSec) no tiene acceso ninguno a la información que cada usuario almacena en el servidor, que solo puede ser descifrada en su propio navegador web cuando accede al servicio.

«Es importante que todo el mundo sepa
que el servicio gratuito
siempre estará disponible para la comunidad.
Pero, complementariamente,
queremos ser capaces de atender las demandas y necesidades específicas de organizaciones
que no pueden limitarse a las de una instancia pública.»

La idea es innovadora, porque, ¿a diferencia de otras soluciones de almacenamiento y gestión de contraseñas, toda la maquinaria criptográfica tiene lugar en el lado cliente? ¿Las claves privadas que envuelven los secretos nunca se exponen fuera de la memoria de su navegador?
Efectivamente, aunque el almacenamiento de los secretos cifrados se encuentra en el entorno o lado servidor (backend), es el código JavaScript del lado cliente que el usuario obtiene al iniciar sesión quien realiza todas las operaciones criptográficas, desde la derivación de claves hasta el intercambio de la información cifrada con el servidor mediante una conexión cifrada extremo a extremo. El servidor únicamente almacena la semilla de login de cada usuario, a partir de la cual, tras diversas validaciones e interacciones criptográficas, el cliente deriva sus claves para acceder a sus secretos. Todos los detalles de su funcionamiento han sido publicados en conferencias de seguridad que hemos impartido en los últimos meses y que están disponibles desde Guardedbox.es.
Al no disponer el servidor ni de la contraseña ni de las claves privadas de los usuarios, evitamos la posibilidad de que, incluso aunque un tercero tuviese acceso al servidor o a la base de datos de secretos, se pudieran comprometer los secretos almacenados. Esto nos proporciona bastante tranquilidad.

¿Cuál es vuestra política de marketing? ¿Cómo vais a dar a conocer el producto y quiénes van a ser vuestros prescriptores?
Puesto que la decisión de ofrecer en primer lugar el servicio a toda la comunidad de manera gratuita y la acogida ha sido muy buena, estamos en el proceso de definir una política comercial que conviva con la instancia gratuita actual, que, por supuesto, continuamos y continuaremos manteniendo. En estos meses hemos confirmado la necesidad por parte de las empresas y corporaciones de disponer de una versión de GuardedBox adaptada a necesidades específicas, y estamos evolucionando la solución para poder responder a ellas.
En esta andadura hemos aprendido y profundizado mucho en el mundo de los secretos, y entendido que las necesidades de gestión son muy diversas, pero que todo el mundo las tiene: desde el punto de vista personal, un individuo que quiere tener sus secretos totalmente controlados y compartirlos eventualmente con un conocido, hasta el plano profesional, como una organización compleja que necesita intercambiar secretos tanto a nivel interno como externo (clientes, proveedores, colaboradores, etc.), y que requiere funcionalidades muy específicas, como auditorías precisas del acceso y modificación de los secretos, un sistema de notificaciones avanzado, múltiples roles de acceso, etc. Las posibilidades son infinitas, y por eso nos hemos centrado mucho en plantear una arquitectura escalable que acomode cualquier tipo de necesidad y que nos permita desarrollar e implantar la larga lista de ideas y funcionalidades que ya tenemos identificadas.

En vuestra web ya advertís de algunas limitaciones del producto, cosa bastante normal cuando se saca algo al mercado. Pero automáticamente se van actualizando y mejorando. ¿En qué versión estáis trabajando ahora?
Efectivamente, la premura para publicar la versión 1.0 implicaba definir y cerrar las características y funcionalidades iniciales en un punto estable. Desde el 1 de abril hemos ido añadiendo nuevas funcionalidades, tanto las que teníamos ya pensadas, como las que nos han trasladado los usuarios por cuestiones específicas y, en consecuencia, liberando nuevas versiones cada pocas semanas. A principios de julio hemos publicado las versiones 1.5.1 y 1.5.2, que consolidan los componentes tecnológicos actualizándolos a las últimas versiones estables —como Java 14— y mitigan la posible existencia de vulnerabilidades conocidas, e introducen nuevos mecanismos avanzados de integración continua.

Para las próximas semanas intentaremos ir liberando sucesivas versiones, continuando con la misma dinámica, que permitirán desde el esperado cambio de contraseña (incluido en las limitaciones mencionadas desde el inicio en la web de GuardedBox), el uso de un TOPT como segundo factor de autentificación que no requiera hacer uso del e-mail, opciones de visibilidad y privacidad para que el usuario se pueda poner en modo oculto, hasta otras como poder cambiar el orden de las propiedades de los secretos, por enumerar sólo algunas de las que conforman la lista de futuras capacidades de GuardedBox.

¿Te ha gustado esta entrevista? Regístrate ahora en nuestra web y recibirás gratuitamente nuestro boletín y te anunciaremos nuestros cursos de formación.

Gracias por confiar en TECNOideas 2.0.