Cifrado en tránsito (Encryption in transit)
En seguridad del dato, el cifrado en tránsito protege los datos mientras viajan por una red, casi siempre con TLS, de forma que no se puedan leer ni alterar por el camino. Es uno de los tres pilares del cifrado, junto al cifrado en reposo y al cifrado en uso, y cada uno protege el dato en un estado distinto, que es la razón de que no sean intercambiables.
Cómo funciona
El cifrado en tránsito envuelve los datos en un canal seguro mientras se mueven entre dos puntos: del navegador al servidor, de un servicio a otro, del cliente a una API. En la práctica esto significa casi siempre TLS, que cifra la carga, autentica los extremos mediante certificados y detecta la manipulación. En enlaces internos o de mucho valor se puede reforzar con mTLS, donde los dos extremos presentan certificado, e incluso una consulta DNS se puede proteger con DNS over HTTPS. Es distinto del cifrado en reposo, que protege el dato almacenado, y del cifrado en uso, que lo protege mientras se procesa. Entre los tres cubren los tres estados en los que existe un dato, y un hueco en cualquiera de ellos deja una ventana abierta.
Qué sale mal
El fallo es un canal cifrado en el borde y en claro por dentro. Una organización termina el TLS en un balanceador y a partir de ahí manda el tráfico a los servicios internos en texto plano, dando por hecho que la red interna es segura, cosa que deja de ser cierta en cuanto un atacante tiene el más mínimo punto de apoyo. Otros huecos recurrentes son las llamadas entre servicios que se dejaron sin cifrar por comodidad, y los extremos que ofrecen una configuración TLS débil al lado de una fuerte. Desde el asiento del atacante, el valor está en un enlace que lleve credenciales o datos sensibles en claro en algún salto, porque entonces una posición en la red interna entrega los datos sin romper ni una sola pieza de criptografía.
Dónde aparece esto en una auditoría
Verificamos la protección en tránsito de punta a punta, no solo en la puerta de entrada: qué saltos van cifrados, si el tráfico interno entre servicios está protegido, y si los extremos negocian parámetros fuertes. Señalamos cualquier tramo que lleve datos sensibles en claro, con la exposición demostrada cuando el alcance lo permite, y anotamos dónde importan el secreto hacia delante o la migración hacia criptografía post-cuántica para confidencialidad de larga duración. El hallazgo se escribe contra el salto desprotegido. Esto forma parte de cómo verificamos que los datos van protegidos en tránsito.