Análisis de vectores de entrada y seguridad de nodos
Sesión metodológica sobre perímetros de red expuestos en validadores y pautas de mitigación ante amenazas de denegación de servicio a nivel de protocolo.
Modelo de amenaza para un nodo de consenso
Un nodo validador combina tres planos que normalmente se diseñan por separado: red P2P, almacenamiento de cadena y firma criptográfica. Un atacante puede aspirar a degradar cualquiera de ellos. Saturar el plano P2P con pares maliciosos provoca eclipse attacks; saturar el almacenamiento con bloques mal formados fuerza re-validación costosa; comprometer el plano de firma equivale a comprometer la identidad del validador.
Superficies de exposición típicas
En auditorías recurrentes encuentro RPC JSON sin allowlist, métricas Prometheus expuestas en 0.0.0.0:9100 sin TLS mutuo, SSH con autenticación por contraseña y puertos de gossip aceptando peers no firmados. Cualquiera de estos puntos es suficiente para construir una cadena de explotación.
El primer ejercicio que pido al cliente es un escaneo externo desde fuera de su VPC. Casi siempre aparece más superficie de la documentada — agentes de observabilidad heredados, paneles internos olvidados, balanceadores con políticas permisivas.
Mitigaciones que funcionan en producción
Segmentar el nodo productor detrás de relays dedicados, aplicar rate limiting por IP y por par criptográfico, exigir mTLS para todo plano de control, y firmar las release binarias del nodo con sigstore. Para DoS a nivel de protocolo, lo que mejor funciona es presupuesto de CPU/IO por par y desconexión agresiva de peers que excedan un umbral de mensajes malformados.
Y monitorización con alertas que tengan sentido operativo: tiempo desde el último bloque adoptado, profundidad de mempool, ratio de forks observados. Métricas que un humano puede accionar a las 03:00, no dashboards con cien series irrelevantes.