RealVNC Connect – Informe de Seguridad

RealVNC Connect: Informe de seguridad

La seguridad del cliente es de vital importancia para RealVNC. Por ello, nuestra estrategia de seguridad está integrada en todos los aspectos de nuestro software RealVNC Connect. Este documento explica con más detalle nuestra estrategia de seguridad y se divide en cinco temas clave: arquitectura de seguridad, infraestructura en la nube, seguridad del cliente, procedimientos de desarrollo, normas y cumplimiento. Cada uno de ellos se rige por cuatro principios sencillos pero sólidos:

No tiene por qué confiar en RealVNC para confiar en nuestro software y nuestros servicios.
Cada sesión se trata como si se hiciera en un entorno hostil.
No registramos sus sesiones y no podemos descifrar los datos de sesión ni ahora ni en el futuro.
El propietario del ordenador remoto decide en última instancia quién puede conectarse.

ARQUITECTURA DE SEGURIDAD

Visión General
RealVNC diseña su seguridad asumiendo entornos hostiles, protegiendo tanto conexiones en la nube como directas. Los servicios en la nube median conexiones aprobadas, pero el Servidor RealVNC autoriza el acceso.
Protocolo Remote Framebuffer (RFB)
RFB, creado por RealVNC, usa cifrado moderno y se actualiza regularmente. Los clientes controlan las claves de cifrado para evitar manipulaciones.
Cifrado
RealVNC Connect utiliza cifrado AES-GCM de 128 o 256 bits para proteger los datos en tránsito, asegurando el Secreto Perfecto Hacia Adelante (PFS) con el intercambio de claves Diffie-Hellman.

Control de Identidad
Las identidades se verifican mediante claves RSA. Conexiones directas usan “Confianza en el primer uso” (TFU), aprobadas manualmente. Conexiones en la nube se verifican automáticamente, con opción de verificación manual.
Proceso de Negociación de la Nube
La conectividad en la nube facilita el acceso a través de NAT y cortafuegos, actuando como intermediario y asegurando la conexión sin leer ni manipular datos.
Negociación de la Conectividad Entre Iguales
ICE abre puertos UDP y descubre direcciones IP con STUN. Puertos UDP se abren solo cuando es necesario, con seguridad adicional mediante la firma de paquetes y uso de SCTP para fiabilidad.

INFRAESTRUCTURA EN LA NUBE

RealVNC implementa seguridad en capas para evitar accesos no autorizados incluso si la nube o las credenciales son comprometidas.

Servicios en la Nube
RealVNC Connect utiliza servicios seguros y distribuidos protegidos por TLS 1.2 y autenticación adecuada, con medidas contra ataques DDoS y alta disponibilidad. Los datos se replican en varios centros de datos y se guardan copias de seguridad cifradas.
Operaciones
El equipo de RealVNC supervisa y parchea los servicios 24/7, con control estricto y registros de acceso a datos. Utilizan detección de intrusiones y escaneos de puertos.
Infraestructura de Clave Pública
Las comunicaciones están protegidas por una PKI cerrada, asegurando control de confianza sin depender de autoridades externas.

Autenticación Multifactor
La cuenta utiliza correo electrónico como segundo factor. La verificación en dos pasos (TOTP) se puede activar para mayor seguridad.
Autenticación Multifactor Obligatoria
Las suscripciones Enterprise pueden requerir verificación en dos pasos para todos los miembros del equipo.
Cierre de Sesión Remoto
Los usuarios pueden cerrar sesión remotamente desde el portal, eliminando contraseñas y datos almacenados en caché, protegiendo la cuenta en caso de pérdida o robo de hardware.

Datos Sensibles
El Servidor RealVNC realiza autenticaciones locales, evitando que la nube pueda comprometer los ordenadores. Las contraseñas y la información de pago se almacenan localmente y en un proveedor seguro, cumpliendo con PCI DSS. Las credenciales se almacenan con hashes Bcrypt y sal aleatoria.
Portal de Gestión de Cuentas
El portal permite gestionar cuentas, usuarios y dispositivos, protegido por TLS y prácticas seguras de desarrollo. Los usuarios se desconectan automáticamente tras inactividad.
Gestión de Roles
El portal permite gestionar roles: Usuario, Administrador, Administrador Financiero y Propietario, con diferentes permisos.

SEGURIDAD DEL CLIENTE

RealVNC Connect se compone de dos aplicaciones: Servidor RealVNC y Visualizador RealVNC. El Servidor RealVNC controla la autenticación y autorización, sin delegar el control en dispositivos o la nube, reduciendo la superficie de ataque.

Registro de Auditoría
- Acceso a Dispositivos: Registra conexiones en el sistema para auditorías y cumplimiento normativo.
- Asistencia a la Carta: Guarda registros detallados de cada sesión, incluyendo transcripciones de chat cifradas.
Listas Negras y Filtrado de IP
- Listas Negras: Bloquea intentos repetidos de autenticación por IP y nombre de usuario.
- Filtrado de IP: Bloquea conexiones desde direcciones IP específicas.
Comprobación Manual de Identidad
Permite a los usuarios verificar la identidad presentada durante la conexión para prevenir ataques desde dentro de RealVNC.

Control de Acceso
El Servidor RealVNC puede requerir aprobación local para conexiones remotas.
Autenticación Multifactor
Ofrece múltiples métodos de autenticación, incluyendo:
- Certificados Digitales: X.509 y tarjetas inteligentes.
- Duo: Integración nativa para autenticación adicional.
- RADIUS: Combinación de credenciales del sistema y TOTP.
- Kerberos: Inicio de sesión único para suscripciones Enterprise.
- Interacción en Linux y macOS: Requiere credenciales adicionales según los módulos PAM.
Permisos de Sesión
Permite restringir funciones como impresión, transferencia de archivos o copia y pega para usuarios específicos.

Tiempo de espera y acceso exclusivo
- Tiempo de Espera: Finaliza conexiones inactivas tras 1 hora.
- Acceso Exclusivo: Limita las conexiones simultáneas a un solo usuario.
Pantalla en Blanco
Oculta la pantalla del PC remoto durante sesiones en Windows para proteger la privacidad.
Configuración de Políticas
Utiliza Microsoft Group Policy y archivos de configuración en UNIX y macOS para imponer políticas corporativas.
Almacenamiento Seguro de Credenciales
Almacena contraseñas localmente, protegidas por el sistema operativo y cifradas con AES-GCM-128.

Fijación de Certificados Raíz
Comprueba los certificados raíz TLS para limitar la exposición a autoridades de certificación no autorizadas.
Binarios Firmados
Los instaladores y binarios están firmados para evitar modificaciones no autorizadas.
Control de Integridad del Cliente
Proporciona sumas de comprobación SHA256 y monitorea modificaciones no autorizadas.
Seguridad en Tiendas de iOS y Android
Las aplicaciones están verificadas y firmadas por Apple y Google para asegurar su autenticidad.

PROCEDIMIENTOS DE DESARROLLO

Nuestro equipo de seguridad ha estado involucrado en el desarrollo de RealVNC Connect y participa en su gestión continua. Seguimos un ciclo de vida de desarrollo de software (SDLC) como parte de nuestro sistema de gestión de la seguridad de la información (SGSI) certificado bajo ISO27001.

Antes del Desarrollo

Establecimos requisitos de seguridad y privacidad desde el inicio, incluyendo principios de seguridad y evaluaciones de riesgos. Todo el hardware es propiedad de RealVNC y se almacena en centros de datos certificados.

Desarrollo

Revisamos y analizamos constantemente el código con herramientas de escaneo y análisis estático, además de pruebas automatizadas y revisiones de la superficie de ataque. Utilizamos análisis de composición de software (SCA) para gestionar bibliotecas dependientes y evitar vulnerabilidades de terceros.

Publicación y Postdesarrollo

Antes de cada versión, el código pasa por una revisión final de seguridad y se archivan los datos relevantes. Contamos con un plan de respuesta ante incidentes y lanzamos actualizaciones para proteger nuestro producto. Documentamos públicamente cualquier vulnerabilidad corregida para mantener la transparencia con nuestros clientes.

NORMAS Y CUMPLIMIENTOS

RealVNC está diseñado para cumplir con una amplia gama de normas y regulaciones industriales y gubernamentales. Contamos con certificaciones ISO/IEC 27001:2013 y Cyber Essentials, y cumplimos con GDPR y CCPA, garantizando la protección de datos y privacidad. Además, apoyamos el cumplimiento de HIPAA y PCI-DSS.

Centro de Operaciones de Seguridad (SOC)

Nuestro SOC 24×7 supervisa eventos de ciberseguridad, investigando y mitigando amenazas. Utilizamos inteligencia global para mantenerse al día con las herramientas, técnicas y tendencias de los atacantes.

Certificación ISO/IEC 27001

RealVNC tiene la certificación ISO/IEC 27001:2013, una norma internacional para gestionar la seguridad de la información. Esta certificación demuestra que gestionamos adecuadamente los riesgos relacionados con la seguridad de los datos que poseemos o procesamos.

Certificación Cyber Essentials

Cyber Essentials, un programa del Centro Nacional de Ciberseguridad del Reino Unido, certifica que tenemos defensas para protegernos contra la mayoría de los ciberataques comunes.

Cumplimiento del GDPR

RealVNC cumple con el Reglamento General de Protección de Datos (GDPR) de la Unión Europea.

ccpa-great-design-for-any-purposes-security-vector-46054891-removebg-preview

Cumplimiento de la CCPA

RealVNC cumple con la Ley de Privacidad del Consumidor de California (CCPA).

INFORME DE SEGURIDAD COMPLETO

En el siguiente botón podrás descargar un archivo PDF donde se detalla la información de cada apartado y se realiza una explicación en profundidad de las funciones y procesos que protegen RealVNC Connect

Descargar PDF

Más Información

Ayúdanos con este formulario a facilitarte la información que necesitas.

Archivos

ÚLTIMAS NOTÍCIAS

ABBYY OCR Container09/12/2024 - 12:04
Gestión Documental para Desarrolladores.04/12/2024 - 16:02
Licencias Academicas25/11/2024 - 10:41
Global Mapper v.26 Imágenes ráster en detalle20/11/2024 - 10:05

RealVNC Connect – Informe de Seguridad