Wiki

Toda la seguridad parte de tres propiedades: confidencialidad (que solo quien debe pueda leer algo), integridad (que nadie pueda alterarlo sin que se note) y disponibilidad (que funcione cuando se necesita). Sobre eso se construyen unos pocos principios que se repiten en cualquier sistema: modelar las amenazas antes de diseñar, dar a cada persona y programa el mínimo privilegio que necesita, y apilar defensas para que la falla de una no deje todo expuesto. El enfoque Zero Trust lleva esto al extremo: no confiar por defecto en ningún dispositivo, usuario ni sistema, esté dentro o fuera de la red, y verificar cada acceso.

El campo se divide en áreas que conviene conocer aunque luego te especialices: redes (segmentación, firewalls, cifrado en tránsito con TLS), sistemas (endurecimiento y parches), identidad (contraseñas, MFA y gestión de credenciales), la nube (permisos, identidades y configuración en servicios IaaS, PaaS y SaaS), la detección y respuesta a incidentes que hace un SOC, el centro de operaciones de seguridad, y las prácticas ofensivas que ponen todo a prueba: pruebas de penetración, ejercicios de equipo rojo, OSINT y análisis forense.

En Panamá, el punto de partida natural es Comunidad DOJO, una fundación sin fines de lucro cuya misión es «cambiar vidas por medio de la ciberseguridad». Sus programas para el empleo cubren Fundamentos de Ciberseguridad, Analista SOC, Fundamentos de Pentesting y Fundamentos de Cloud, y para jóvenes tiene Líderes Programadores. Sus conferencias recorren el campo entero: BSides, donde hackers éticos presentan sus investigaciones; DojoConf, de ciberseguridad y tecnología; NubeSec, sobre seguridad en la nube; y Amalia Conf, sobre inteligencia artificial. En 2025 reportó 3,939 personas impactadas en 49 actividades por seis provincias del país.

La mayoría de los ataques llega por aplicaciones web y APIs, porque son la parte de cualquier sistema que está expuesta a todo internet. El OWASP Top 10 es el mapa más usado de lo que suele fallar: control de acceso roto, inyección (como la inyección SQL), cross-site scripting, criptografía mal aplicada, configuraciones inseguras, dependencias vulnerables, autenticación débil y falsificación de peticiones desde el servidor (SSRF).

Se aprende practicando sobre aplicaciones hechas para romperse. Un proxy de intercepción como Burp Suite u OWASP ZAP deja ver y modificar cada petición; laboratorios como la Web Security Academy de PortSwigger u OWASP Juice Shop proponen fallas reales en un entorno legal; y los CTF y programas de bug bounty llevan esa práctica a sistemas de verdad.

Que una aplicación use blockchain no la saca de este mundo: su interfaz sigue siendo una aplicación web. En diciembre de 2023, una versión maliciosa del Ledger Connect Kit, una librería para conectar wallets, se publicó en npm y redirigió fondos de usuarios de varias aplicaciones descentralizadas. Muchos robos en Web3 empiezan con una falla web clásica, no con un contrato.

La blockchain cambia las reglas en cuatro sentidos. El código de un contrato es público y, en general, no se puede modificar una vez desplegado. Ese código custodia dinero de forma directa. Las transacciones no se pueden revertir. Y cualquier atacante puede simular su ataque contra una copia exacta de la red antes de ejecutarlo. Un error que en una web se corrige con un parche, en un contrato puede significar perder fondos en un solo bloque.

Las fallas se repiten en familias: la reentrancia, que en 2016 vació The DAO; el control de acceso mal hecho; la manipulación de oráculos y precios, a menudo con préstamos flash; los errores de redondeo; las firmas que pueden reutilizarse; los contratos actualizables mal protegidos; y los puentes entre cadenas. En 2022, el robo a Ronin vino de llaves de validadores comprometidas y el de Wormhole de una verificación de firmas defectuosa. En 2025, el robo a Bybit unió los dos mundos: los atacantes alteraron la interfaz web de una wallet multifirma y los firmantes aprobaron una transacción que no era la que veían.

Auditar un contrato combina lectura manual con herramientas: análisis estático para encontrar patrones conocidos, fuzzing y pruebas de invariantes para buscar entradas que rompan supuestos, y verificación formal para probar matemáticamente propiedades críticas. Cyfrin reúne buena parte de ese oficio: Updraft ofrece cursos gratuitos de desarrollo y auditoría de contratos, CodeHawks organiza auditorías competitivas abiertas, Solodit recopila hallazgos de auditorías reales y Aderyn analiza código Solidity en busca de vulnerabilidades.

Un camino posible: primero redes, Linux y los fundamentos de seguridad, con un programa como Fundamentos de Ciberseguridad de Comunidad DOJO; después seguridad web con el OWASP Top 10 y laboratorios prácticos; luego programación, con Python o JavaScript y Solidity; y por último auditoría de contratos con los cursos de Cyfrin Updraft. En cada etapa, practica: CTF para lo tradicional y la web, auditorías competitivas en CodeHawks para contratos. Para orientarte hacia el primer empleo, el podcast Impulso Cyber de DOJO entrevista a especialistas y reclutadores. La seguridad se aprende rompiendo cosas con permiso.