ZKP: Privacidad en Sesiones P2P para dVPN y DePIN

¿Qué es exactamente SASE y por qué es tan importante?

¿Alguna vez has intentado usar una VPN lenta y pesada mientras trabajas en una cafetería, solo para ver cómo la conexión se arrastra mientras intentas abrir una simple hoja de cálculo? Es, honestamente, una de las experiencias más frustrantes del estilo de vida moderno de "trabajar desde cualquier lugar", pero es precisamente por eso que todo el mundo está hablando de SASE últimamente.

En el pasado, la seguridad era como un castillo con un foso: tenías un gran firewall (cortafuegos) en la oficina y, mientras estuvieras dentro, estabas "seguro". Pero hoy en día, nuestros datos están en todas partes. Usamos Salesforce desde la cocina, accedemos a historiales médicos desde una tablet o revisamos el inventario de una tienda desde el piso de un almacén.

Según una guía de IBM, SASE (que se pronuncia "sassi") significa Secure Access Service Edge (Borde de Servicio de Acceso Seguro). Básicamente, es una forma de empaquetar las redes y la seguridad en un solo ecosistema basado en la nube, para que no tengas que enviar todo tu tráfico de vuelta a una sala de servidores polvorienta en la oficina central solo para revisar tu correo electrónico.

• SD-WAN (Redes): Este es el "cerebro" que determina la ruta más rápida para tus datos, ya sea que estés usando 5G, el Wi-Fi de tu casa o la fibra óptica de la oficina.
• SSE (Seguridad): Esta es la parte del "guardia de seguridad". Significa Security Service Edge y se introdujo posteriormente como un subconjunto especializado de seguridad dentro del marco más amplio de SASE para gestionar la protección.
• El Borde (The Edge): En lugar de un centro de datos centralizado, la seguridad se aplica en "puntos de presencia" (PoPs) cercanos a tu ubicación real.

De hecho, un informe de 2021 de Gartner definió formalmente la mitad de seguridad como SSE. Esto es crucial porque elimina el "hairpinning", ese molesto retraso en el que tus datos viajan 800 kilómetros hasta un centro de datos solo para regresar a un sitio web que estaba alojado a 15 kilómetros de ti.

Si gestionas una cadena minorista o una pequeña clínica de salud, no quieres lidiar con diez dispositivos de seguridad distintos. SASE simplifica todo al centralizar las reglas en la nube. Como señala Microsoft, esto ayuda a aplicar las mismas políticas de seguridad tanto para alguien con su laptop en un parque como para el CEO en la sala de juntas.

No se trata solo de velocidad; se trata de no dejar la puerta trasera digital abierta. A continuación, analizaremos los componentes principales como SD-WAN y cómo funciona realmente el lado de la seguridad.

Desglosando los componentes de SASE

¿Alguna vez te has preguntado por qué la red de tu empresa parece una bola de estambre gigante y enredada que nadie quiere tocar? Sinceramente, es porque seguimos intentando usar herramientas de 2010 para resolver problemas de 2025, y SASE es básicamente la tijera que finalmente nos permite cortar todo ese desorden.

Imagina que el SD-WAN es el GPS inteligente para tus datos. En los viejos tiempos, usábamos líneas MPLS, que eran básicamente carreteras privadas y costosas que solo llevaban a tu oficina. Si estabas en casa, tenías que conducir hasta la oficina solo para entrar en la carretera "segura" hacia internet. Era lento y, francamente, un poco abusivo.

Según una publicación de CodiLime, el SD-WAN desacopla el hardware de red de las funciones de control. Esto significa que ya no estás atado a cualquier router obsoleto que esté en el armario; el software decide si tu llamada de Zoom debe ir por la fibra de la oficina, una conexión 5G o el internet de tu casa, basándose en cuál está funcionando mejor en ese preciso momento.

• Adiós al hardware: No necesitas un millón de cajas costosas en cada sucursal. El "cerebro" está en el software.
• Enrutamiento basado en el rendimiento: Si tu línea de internet principal empieza a fallar (jitter, lag, los sospechosos de siempre), el SD-WAN mueve automáticamente tu tráfico a un respaldo sin que te des cuenta.
• Reducción drástica de costos: Puedes dejar de pagar por esas líneas MPLS con precio de oro y usar internet convencional, lo que hará muy feliz al equipo de finanzas.

Ahora, si el SD-WAN es el GPS, el SSE es el camión blindado. Es la mitad de seguridad de la moneda SASE. Como mencionamos antes, Gartner acuñó este término porque algunas empresas ya tienen resuelta su parte de red y solo buscan la parte de seguridad.

El SSE es fundamental porque agrupa herramientas como SWG (Secure Web Gateway: una herramienta que filtra el tráfico web para bloquear sitios maliciosos), CASB (Cloud Access Security Broker: un punto de control de seguridad entre los usuarios y las aplicaciones en la nube) y FWaaS (Firewall as a Service: un firewall basado en la nube que escala según tu tráfico) en una sola plataforma. Un informe de 2024 de Zscaler señala que el SSE es un subconjunto de SASE que se enfoca directamente en estos servicios de seguridad. (Zscaler 2024 AI Security Report) Es perfecto para una empresa que ya es "cloud-first" y no le interesa gestionar grandes redes físicas en sucursales.

El SSE ayuda a las organizaciones a librarse del "hairpinning", esa molesta situación en la que tu tráfico tiene que viajar a un centro de datos a 500 kilómetros de distancia solo para ser revisado antes de poder ir a un sitio web.

Tal vez estés pensando: "¿no puedo comprar solo la parte de seguridad?". Bueno, sí, puedes. Pero SASE es la versión donde "todo funciona mejor en conjunto". Cuando combinas la conectividad (SD-WAN) con la seguridad (SSE), obtienes una gestión centralizada o "single pane of glass".

Una cadena de tiendas minoristas podría usar SASE para conectar 500 locales. En lugar de tener un firewall y un router en cada tienda, solo tienen una política de SASE. Si un cajero en Seattle intenta acceder a un sitio sospechoso, el SWG lo bloquea al instante, mientras que el SD-WAN garantiza que las transacciones de tarjetas de crédito se mantengan en la ruta más rápida.

En el sector salud, esto es aún más crítico. Un médico que realiza una consulta de telemedicina desde su casa necesita esa baja latencia (gracias al SD-WAN), pero también cumplir con las normativas de privacidad de datos (gracias al SSE). Si solo tienes la mitad de la pieza, tendrás un video lento o un agujero de seguridad.

He visto esto aplicarse de varias formas:

1. Finanzas: Una cooperativa de crédito nacional utilizó SASE para consolidar sus herramientas de seguridad, reduciendo la cantidad de paneles de control que su equipo de TI tenía que monitorear.
2. Manufactura: Una empresa con plantas en todo el mundo lo usó para mantener seguros sus sensores de IoT sin tener que enviar ingenieros a cada sitio para configurar hardware.
3. Educación: Las universidades lo usan para que los estudiantes accedan a los recursos de la biblioteca desde cualquier lugar, manteniendo la red principal del campus a salvo del malware que la gente inevitablemente descarga en sus laptops personales.

No se trata solo de estar a la moda con términos como SASE; se trata de asegurar que la persona que trabaja desde el comedor de su casa tenga la misma protección que quienes están en la oficina central. A continuación, analizaremos por qué la "confianza" es una mala palabra en el ecosistema SASE.

Cómo SASE optimiza la detección de amenazas

¿Alguna vez te has preguntado por qué la red "segura" de tu empresa parece estar sostenida por hilos y oraciones? Generalmente es porque seguimos intentando confiar en las personas basándonos en su ubicación física, lo cual, honestamente, es una estrategia de seguridad nefasta para el 2025.

El núcleo de cómo SASE (Secure Access Service Edge) realmente detecta a los atacantes es el concepto de Zero Trust (Confianza Cero). En el pasado, si estabas en la oficina, la red simplemente asumía que eras "uno de los buenos". Zero Trust cambia las reglas del juego: asume que todos son una amenaza potencial hasta que demuestren lo contrario.

Como mencionó Microsoft anteriormente en esta guía, esto no se trata solo de un inicio de sesión único. Hablamos de un acceso basado en la identidad. El sistema verifica constantemente: ¿Es realmente el CEO? ¿Por qué se conecta desde una tablet en otro país a las 3 a. m.?

• El contexto es el rey: La plataforma SASE analiza el estado de salud de tu dispositivo, tu ubicación y qué recurso intentas manipular antes de permitirte el acceso.
• Microsegmentación: En lugar de darte las llaves de todo el castillo, solo recibes acceso a la aplicación específica que necesitas. Si un hacker roba tu contraseña, se queda atrapado en una sola habitación en lugar de deambular por todo el edificio.
• Verificación de salud del dispositivo: Herramientas de protección de endpoints verifican si tu laptop tiene el firewall activo y el software actualizado antes de que la API siquiera te permita conectar.

Uno de los aspectos más innovadores de cómo SASE gestiona la detección de amenazas es que vuelve "oscuras" a tus aplicaciones. En una configuración tradicional, tu puerta de enlace VPN está expuesta en internet, básicamente saludando a los hackers.

Según un informe de 2024 de Trend Micro, el ZTNA (Zero Trust Network Access) reemplaza a esas VPN obsoletas y oculta tus aplicaciones de la web pública. Si un atacante escanea internet buscando la aplicación de nómina de tu empresa, no la encontrará. Para ellos, simplemente no existe, porque el "bouncer" de SASE solo muestra la puerta a quienes ya han sido verificados.

Dado que todo el tráfico fluye a través de la nube de SASE, se puede utilizar Inteligencia Artificial (IA) para detectar patrones inusuales que un humano pasaría por alto. Es como tener un guardia de seguridad que ha memorizado exactamente cómo camina y habla cada empleado.

Un análisis de 2024 de Zscaler (mencionado anteriormente) explica que, debido a que SSE está diseñado específicamente para la nube, puede realizar una inspección profunda del tráfico cifrado sin que tu conexión a internet se sienta como una de los años 90.

Hoy en día, la mayor parte del malware se oculta dentro del tráfico cifrado. Los firewalls tradicionales tienen dificultades para "ver" dentro de esos paquetes porque requiere demasiada capacidad de procesamiento. Pero como SASE opera en el Edge (el borde de la red), puede abrir esos paquetes, buscar virus mediante aprendizaje automático (machine learning) y volver a cerrarlos en milisegundos.

He visto cómo esto salva a diferentes tipos de negocios:

1. Sector Salud: Un médico utiliza un iPad personal para revisar expedientes de pacientes. El sistema SASE detecta que el dispositivo no está cifrado y bloquea el acceso a los datos sensibles, pero le permite seguir revisando su correo corporativo.
2. Retail (Venta minorista): El gerente de una tienda en un centro comercial intenta descargar un archivo adjunto sospechoso. El SWG (Secure Web Gateway) detecta la firma del malware en la nube antes de que toque la red local de la tienda.
3. Finanzas: Una cooperativa de crédito nacional utiliza SASE para asegurar que, incluso si el internet físico de una sucursal se ve comprometido, los datos permanezcan cifrados y las conexiones "de adentro hacia afuera" impidan que los atacantes se muevan lateralmente por la red.

En resumen, se trata de reducir la superficie de ataque. Si los atacantes no pueden ver tus aplicaciones y la IA vigila cada movimiento extraño, estarás en una posición mucho más segura.

A continuación, hablaremos sobre cómo toda esta arquitectura SASE realmente facilita tu vida —y reduce costos— en la gestión de infraestructura.

Beneficios tangibles para su negocio

Siendo honestos, nadie se despierta con la ilusión de gestionar el firewall de una red. Suele ser un trabajo poco valorado donde solo recibes noticias de los usuarios cuando el internet está lento o la VPN no conecta. Sin embargo, el modelo SASE (Secure Access Service Edge) cambia esa realidad, simplificando toda esa complejidad técnica y permitiendo un ahorro de costos considerable.

Uno de los mayores dolores de cabeza en el área de TI es la "fatiga de consolas". Tienes una pantalla para los routers, otra para el firewall y quizás una tercera para la seguridad en la nube. Es agotador. Según Zscaler, el SSE (Security Service Edge, que es el componente de seguridad de SASE) permite consolidar todos esos productos individuales en una sola plataforma. Esto, naturalmente, reduce los costos operativos y hace que el equipo de finanzas deje de presionarte tanto.

• Adiós a la mentalidad de "Hardware Fijo": Ya no es necesario comprar equipos costosos cada vez que abres una nueva sucursal. Dado que la seguridad reside en la nube, solo necesitas una conexión a internet básica y listo.
• Reducción de costos de MPLS: Como mencionamos anteriormente, puedes dejar de pagar por esas líneas privadas sobrevaloradas. SASE utiliza el internet convencional pero lo hace funcionar como una red privada, lo cual representa un cambio radical para el presupuesto.
• Escalabilidad sin dramas: Si mañana contratas a 50 personas nuevas, no necesitas pedir 50 tokens físicos ni un concentrador de VPN más grande. Simplemente actualizas tu licencia en la nube y sigues adelante.

Todos hemos pasado por eso: intentar entrar a una llamada de Zoom mientras la VPN está haciendo un "hairpinning" de tu tráfico, enviándolo a un centro de datos al otro lado del país. El retraso (lag) es insoportable. Gracias a que SASE utiliza esos "Puntos de Presencia" (PoPs) de los que hablamos, la validación de seguridad ocurre cerca del usuario.

Un análisis de 2024 de Zscaler explica que esta arquitectura distribuida garantiza que el personal en una cafetería tenga la misma velocidad de conexión que quienes están sentados en la oficina central.

He visto cómo esto beneficia a distintos sectores:

1. Retail: El gerente de una tienda necesita consultar el inventario en una tablet. En lugar de esperar una conexión lenta con la oficina central, SASE los dirige de forma segura y directa a la aplicación en la nube.
2. Finanzas: Un oficial de crédito que trabaja desde casa puede acceder a bases de datos sensibles sin ver el "círculo de carga infinito" de la VPN cada vez que hace clic en guardar.
3. Manufactura: Las plantas remotas pueden conectar sus sensores de IoT a la nube sin necesidad de un técnico de TI en el sitio para reparar un firewall físico cada vez que falla.

Básicamente, se trata de hacer que la seguridad sea invisible. Cuando funciona correctamente, los empleados ni siquiera notan su presencia; solo perciben que sus aplicaciones funcionan rápido. A continuación, cerraremos analizando cómo empezar la transición hacia este futuro "SASE" sin comprometer la infraestructura que ya tienes funcionando.

Implementando SASE sin dolores de cabeza

¿Así que has decidido dar el salto a SASE pero te preocupa arruinar todo lo que ya has construido? Honestamente, es un sentimiento común; nadie quiere ser el responsable de tumbar accidentalmente la red de la empresa un martes por la mañana.

Implementar SASE no tiene por qué ser una pesadilla de "borrón y cuenta nueva". De hecho, puedes hacerlo por etapas, lo cual es mucho mejor para tu salud mental y para el presupuesto.

La forma más inteligente de comenzar es atacando tu mayor problema actual: por lo general, esa vieja y lenta VPN. Como mencionamos antes, reemplazar la VPN con ZTNA (Acceso a la Red de Confianza Cero) es el primer paso ideal, ya que ofrece a tus colaboradores remotos mayor velocidad y una seguridad muy superior sin tener que tocar el hardware de la oficina.

• Identifica tus "joyas de la corona": Empieza colocando tus aplicaciones más sensibles bajo la protección del "bouncer" de SASE.
• Elige un grupo "piloto": Selecciona a algunas personas con perfil técnico en marketing o ventas para probar el nuevo acceso antes de lanzarlo a toda la compañía.
• Limpia tus políticas: Aprovecha este cambio como la excusa perfecta para eliminar esas cuentas de usuario antiguas que llevan tres años inactivas.

Un informe de 2024 de Zscaler menciona que el monitoreo de la experiencia digital se está integrando directamente en las plataformas SASE, lo cual es un avance enorme. Esto sucede porque SASE se ubica justo entre el usuario y la aplicación, dándole una vista privilegiada de los datos de rendimiento. Esto significa que puedes ver exactamente por qué la conexión de un usuario es lenta —ya sea por su deficiente Wi-Fi doméstico o por un problema real de la red— incluso antes de que llamen a soporte técnico.

No tienes que comprarle todo a un solo proveedor si no quieres. Algunas empresas prefieren el enfoque de "proveedor único" por simplicidad, mientras que otras optan por un modelo de "proveedor dual", donde mantienen su infraestructura de red actual pero añaden una nueva capa de seguridad en la nube.

La guía de Microsoft que mencionamos anteriormente sugiere que tu despliegue de SASE debe conectarse con tus proveedores de identidad actuales. Si ya utilizas el inicio de sesión único (SSO), asegúrate de que tu herramienta SASE se integre a la perfección para que tus empleados no tengan que memorizar una contraseña más.

He visto este enfoque por fases funcionar en distintos sectores:

1. Educación: Un sistema universitario comenzó asegurando sus bases de datos de investigación bibliotecaria con ZTNA, y luego migró gradualmente la seguridad del Wi-Fi del campus a la nube.
2. Manufactura: Una firma global mantuvo el hardware de sus fábricas, pero movió todo el acceso de contratistas a una plataforma SASE para mantener la red principal "invisible" para externos.
3. Retail: Una cadena implementó firewalls en la nube (FWaaS) primero en sus tiendas nuevas, manteniendo las antiguas con tecnología tradicional hasta que vencieron sus contratos de hardware.

Al final del día, SASE es un trayecto, no un proyecto de fin de semana. Empieza de a poco, demuestra que funciona y luego escala. Tu red —y tus horas de sueño— definitivamente te lo agradecerán.