RealVNC Connect – Informe de Seguridad

RealVNC Connect: Informe de seguridad

La seguridad del cliente es de vital importancia para RealVNC. Por ello, nuestra estrategia de seguridad está integrada en todos los aspectos de nuestro software RealVNC Connect. Este documento explica con más detalle nuestra estrategia de seguridad y se divide en cinco temas clave: arquitectura de seguridad, infraestructura en la nube, seguridad del cliente, procedimientos de desarrollo, normas y cumplimiento. Cada uno de ellos se rige por cuatro principios sencillos pero sólidos:

  • No tiene por qué confiar en RealVNC para confiar en nuestro software y nuestros servicios.
  • Cada sesión se trata como si se hiciera en un entorno hostil.
  • No registramos sus sesiones y no podemos descifrar los datos de sesión ni ahora ni en el futuro.
  • El propietario del ordenador remoto decide en última instancia quién puede conectarse.

ARQUITECTURA DE SEGURIDAD

  • Visión General

    RealVNC diseña su seguridad asumiendo entornos hostiles, protegiendo tanto conexiones en la nube como directas. Los servicios en la nube median conexiones aprobadas, pero el Servidor RealVNC autoriza el acceso.

  • Protocolo Remote Framebuffer (RFB)

    RFB, creado por RealVNC, usa cifrado moderno y se actualiza regularmente. Los clientes controlan las claves de cifrado para evitar manipulaciones.

  • Cifrado

    RealVNC Connect utiliza cifrado AES-GCM de 128 o 256 bits para proteger los datos en tránsito, asegurando el Secreto Perfecto Hacia Adelante (PFS) con el intercambio de claves Diffie-Hellman.

  • Control de Identidad

    Las identidades se verifican mediante claves RSA. Conexiones directas usan «Confianza en el primer uso» (TFU), aprobadas manualmente. Conexiones en la nube se verifican automáticamente, con opción de verificación manual.

  • Proceso de Negociación de la Nube

    La conectividad en la nube facilita el acceso a través de NAT y cortafuegos, actuando como intermediario y asegurando la conexión sin leer ni manipular datos.

  • Negociación de la Conectividad Entre Iguales

    ICE abre puertos UDP y descubre direcciones IP con STUN. Puertos UDP se abren solo cuando es necesario, con seguridad adicional mediante la firma de paquetes y uso de SCTP para fiabilidad.

INFRAESTRUCTURA EN LA NUBE

RealVNC implementa seguridad en capas para evitar accesos no autorizados incluso si la nube o las credenciales son comprometidas.

  • Servicios en la Nube

    RealVNC Connect utiliza servicios seguros y distribuidos protegidos por TLS 1.2 y autenticación adecuada, con medidas contra ataques DDoS y alta disponibilidad. Los datos se replican en varios centros de datos y se guardan copias de seguridad cifradas.

  • Operaciones

    El equipo de RealVNC supervisa y parchea los servicios 24/7, con control estricto y registros de acceso a datos. Utilizan detección de intrusiones y escaneos de puertos.

  • Infraestructura de Clave Pública

    Las comunicaciones están protegidas por una PKI cerrada, asegurando control de confianza sin depender de autoridades externas.

  • Autenticación Multifactor

    La cuenta utiliza correo electrónico como segundo factor. La verificación en dos pasos (TOTP) se puede activar para mayor seguridad.

  • Autenticación Multifactor Obligatoria

    Las suscripciones Enterprise pueden requerir verificación en dos pasos para todos los miembros del equipo.

  • Cierre de Sesión Remoto

    Los usuarios pueden cerrar sesión remotamente desde el portal, eliminando contraseñas y datos almacenados en caché, protegiendo la cuenta en caso de pérdida o robo de hardware.

  • Datos Sensibles

    El Servidor RealVNC realiza autenticaciones locales, evitando que la nube pueda comprometer los ordenadores. Las contraseñas y la información de pago se almacenan localmente y en un proveedor seguro, cumpliendo con PCI DSS. Las credenciales se almacenan con hashes Bcrypt y sal aleatoria.

  • Portal de Gestión de Cuentas

    El portal permite gestionar cuentas, usuarios y dispositivos, protegido por TLS y prácticas seguras de desarrollo. Los usuarios se desconectan automáticamente tras inactividad.

  • Gestión de Roles

    El portal permite gestionar roles: Usuario, Administrador, Administrador Financiero y Propietario, con diferentes permisos.

SEGURIDAD DEL CLIENTE

RealVNC Connect se compone de dos aplicaciones: Servidor RealVNC y Visualizador RealVNC. El Servidor RealVNC controla la autenticación y autorización, sin delegar el control en dispositivos o la nube, reduciendo la superficie de ataque.

  • Registro de Auditoría

    • Acceso a Dispositivos: Registra conexiones en el sistema para auditorías y cumplimiento normativo.
    • Asistencia a la Carta: Guarda registros detallados de cada sesión, incluyendo transcripciones de chat cifradas.

  • Listas Negras y Filtrado de IP

    • Listas Negras: Bloquea intentos repetidos de autenticación por IP y nombre de usuario.
    • Filtrado de IP: Bloquea conexiones desde direcciones IP específicas.

  • Comprobación Manual de Identidad

    Permite a los usuarios verificar la identidad presentada durante la conexión para prevenir ataques desde dentro de RealVNC.

  • Control de Acceso

    El Servidor RealVNC puede requerir aprobación local para conexiones remotas.

  • Autenticación Multifactor

    Ofrece múltiples métodos de autenticación, incluyendo:

    • Certificados Digitales: X.509 y tarjetas inteligentes.
    • Duo: Integración nativa para autenticación adicional.
    • RADIUS: Combinación de credenciales del sistema y TOTP.
    • Kerberos: Inicio de sesión único para suscripciones Enterprise.
    • Interacción en Linux y macOS: Requiere credenciales adicionales según los módulos PAM.

  • Permisos de Sesión

    Permite restringir funciones como impresión, transferencia de archivos o copia y pega para usuarios específicos.

  • Tiempo de espera y acceso exclusivo

    • Tiempo de Espera: Finaliza conexiones inactivas tras 1 hora.
    • Acceso Exclusivo: Limita las conexiones simultáneas a un solo usuario.

  • Pantalla en Blanco

    Oculta la pantalla del PC remoto durante sesiones en Windows para proteger la privacidad.

  • Configuración de Políticas

    Utiliza Microsoft Group Policy y archivos de configuración en UNIX y macOS para imponer políticas corporativas.

  • Almacenamiento Seguro de Credenciales

    Almacena contraseñas localmente, protegidas por el sistema operativo y cifradas con AES-GCM-128.

  • Fijación de Certificados Raíz

    Comprueba los certificados raíz TLS para limitar la exposición a autoridades de certificación no autorizadas.

  • Binarios Firmados

    Los instaladores y binarios están firmados para evitar modificaciones no autorizadas.

  • Control de Integridad del Cliente

    Proporciona sumas de comprobación SHA256 y monitorea modificaciones no autorizadas.

  • Seguridad en Tiendas de iOS y Android

    Las aplicaciones están verificadas y firmadas por Apple y Google para asegurar su autenticidad.

PROCEDIMIENTOS DE DESARROLLO

Nuestro equipo de seguridad ha estado involucrado en el desarrollo de RealVNC Connect y participa en su gestión continua. Seguimos un ciclo de vida de desarrollo de software (SDLC) como parte de nuestro sistema de gestión de la seguridad de la información (SGSI) certificado bajo ISO27001.

Antes del Desarrollo

Establecimos requisitos de seguridad y privacidad desde el inicio, incluyendo principios de seguridad y evaluaciones de riesgos. Todo el hardware es propiedad de RealVNC y se almacena en centros de datos certificados.

Desarrollo

Revisamos y analizamos constantemente el código con herramientas de escaneo y análisis estático, además de pruebas automatizadas y revisiones de la superficie de ataque. Utilizamos análisis de composición de software (SCA) para gestionar bibliotecas dependientes y evitar vulnerabilidades de terceros.

Publicación y Postdesarrollo

Antes de cada versión, el código pasa por una revisión final de seguridad y se archivan los datos relevantes. Contamos con un plan de respuesta ante incidentes y lanzamos actualizaciones para proteger nuestro producto. Documentamos públicamente cualquier vulnerabilidad corregida para mantener la transparencia con nuestros clientes.

NORMAS Y CUMPLIMIENTOS

RealVNC está diseñado para cumplir con una amplia gama de normas y regulaciones industriales y gubernamentales. Contamos con certificaciones ISO/IEC 27001:2013 y Cyber Essentials, y cumplimos con GDPR y CCPA, garantizando la protección de datos y privacidad. Además, apoyamos el cumplimiento de HIPAA y PCI-DSS.

Centro de Operaciones de Seguridad (SOC)

Nuestro SOC 24×7 supervisa eventos de ciberseguridad, investigando y mitigando amenazas. Utilizamos inteligencia global para mantenerse al día con las herramientas, técnicas y tendencias de los atacantes.

Certificación ISO/IEC 27001

RealVNC tiene la certificación ISO/IEC 27001:2013, una norma internacional para gestionar la seguridad de la información. Esta certificación demuestra que gestionamos adecuadamente los riesgos relacionados con la seguridad de los datos que poseemos o procesamos.

Certificación Cyber Essentials

Cyber Essentials, un programa del Centro Nacional de Ciberseguridad del Reino Unido, certifica que tenemos defensas para protegernos contra la mayoría de los ciberataques comunes.

Cumplimiento del GDPR

RealVNC cumple con el Reglamento General de Protección de Datos (GDPR) de la Unión Europea.

Cumplimiento de la CCPA

RealVNC cumple con la Ley de Privacidad del Consumidor de California (CCPA).

INFORME DE SEGURIDAD COMPLETO

En el siguiente botón podrás descargar un archivo PDF donde se detalla la información de cada apartado y se realiza una explicación en profundidad de las funciones y procesos que protegen RealVNC Connect

Descargar PDF

Más Información

Ayúdanos con este formulario a facilitarte la información que necesitas.

Este formulario de contacto está desactivado porque rechazaste aceptar el servicio de Google reCaptcha, que es necesario para validar los mensajes enviados a través del formulario.