Arquitectura de seguridad

• Confidencialidad

  La telemetría y las credenciales no son legibles en tránsito o en reposo sin autorización.

• Integridad

  El firmware, la configuración y las mediciones están protegidos frente a manipulación no detectada.

• Autenticidad

  Cada dispositivo y servicio demuestra su identidad antes de que se conceda confianza.

• Disponibilidad

  Resiliencia ante caídas, reenvíos y saturación, con degradación controlada cuando sea posible.

• Responsabilidad

  Pista de auditoría para acceso, aprovisionamiento, OTA y acciones de administración.

• Privacidad

  Tratamiento orientado al RGPD de datos personales y de obra en la capa cloud.

1. 01

   Zona Z1 - Sensores de campo L1

   Nodos de campo (CN-CC, CN-WD y SKU relacionados). MAC LoRaWAN con AES-128, secure element para claves, NFC para instalación. Sin pila IP en el nodo.

2. 02

   Zona Z2 - Planta (CN-FG)

   La pasarela de planta verifica tramas, permanece en la VLAN local y no tiene interfaz orientada a la nube.

3. 03

   Zona Z3 - Alimentación (CN-UPS)

   Energiza el equipo de planta y del borde del edificio. Sin conducto de datos.

4. 04

   Zona Z4 - DMZ del edificio (CN-BC)

   Controlador de edificio: cliente WireGuard, cliente MQTT, orquestador OTA. Ruta celular de salida solo para túnel y tráfico del broker.

5. 05

   Zona Z5 - Cloud CurNext (L5)

   Aplicación, base de datos y auth gestionados, broker MQTT privado, IA y almacenamiento de objetos detrás de protección perimetral.

• L1-L2

  Sin WireGuard

• L3

  Sin WireGuard

• L4 CN-BC

  Cliente WireGuard - frontera de seguridad del edificio

• L5 Cloud

  Hub WireGuard - MQTT solo en la malla privada

• L1

  L1 - Sensores de campo

  Identidad única de dispositivo, cripto de enlace aéreo LoRaWAN, arranque seguro, OTA firmado, diseño antimanipulación y detección de desplazamiento.

  • - Clave raíz única por sonda en un secure element - nunca compartida en la flota
  • - Las etiquetas pueden mostrar el número de serie público / DevEUI para logística - nunca la clave raíz
  • - LoRaWAN Class A (EU868): cifrado de payload AES-128 y MIC vía la pila MAC
  • - Solo join OTAA; contadores de trama y rechazo de reenvíos en la pasarela de planta
  • - Arranque seguro, firmware firmado, anti-rollback, depuración de producción bloqueada
  • - Carcasa de campo y ruta de medición antimanipulación - la interferencia física es detectable y se reporta
  • - Detección de desplazamiento cuando un nodo se mueve de su posición de instalación asignada
  • - Asignación en campo mediante vinculación criptográfica NFC - asignación QR desactivada por defecto

• L2

  L2 - Pasarela de planta CN-FG

  Ancla de confianza del enlace aéreo. Valida join, MIC y contadores antes de reenviar.

  • - Firmware firmado con arranque seguro e identidad de secure element
  • - Sin ruta a Internet por defecto; uplink solo hacia CN-BC en la VLAN de planta
  • - OTA solo desde CN-BC
  • - Eventos de join y verificación retenidos para carga de auditoría
  • - Puertos de servicio restringidos en imágenes de producción

• L3

  L3 - Alimentación CN-UPS

  Solo ruta de alimentación - sin plano de datos en la VLAN de gestión.

  • - Sin IP ni API de gestión en la VLAN de datos
  • - Prácticas de carcasa bloqueada en la instalación
  • - La indicación de fallo permanece local - sin fuga de red por fallos de alimentación

• L4

  L4 - Controlador de edificio CN-BC

  Frontera de seguridad del edificio entre la LAN de planta y la nube.

  • - WireGuard de salida desde el edificio (seguro con CGNAT)
  • - MQTT sobre TLS 1.3 con certificados de cliente por edificio
  • - Firewall de host con denegación por defecto; sin SSH, MQTT ni API públicos en celular
  • - Única ruta OTA a L1/L2: verificar manifiesto e imagen firmados, despliegue por etapas, informar resultado
  • - Búfer de telemetría store-and-forward cifrado en reposo; purga tras entrega correcta

• L5

  L5 - Cloud CurNext

  Aplicación y datos multiinquilino con ingreso de campo privado.

  • - Broker MQTT alcanzable solo en la malla privada - no en Internet pública
  • - Autorización por edificio; denegar comodines entre inquilinos
  • - Auth de usuario con tokens de corta duración; MFA obligatorio para roles privilegiados
  • - RBAC en rutas API; límites de tasa y WAF de borde en producción
  • - Cifrado en tránsito y en reposo; aislamiento de inquilinos en consultas
  • - Copias de seguridad cifradas con ejercicios de restauración; rutas de auditoría, exportación y borrado RGPD
  • - Secretos en un gestor de secretos - no en el control de código fuente

1. 01CA raíz offline
2. 02CA de firma OTA
3. 03Imágenes / manifiestos L1, CN-FG y CN-BC firmados

• - Firmas de firmware con ECDSA P-256 (o RSA más fuerte cuando se requiera)
• - El manifiesto incluye clase de dispositivo, versión, versión mínima, hash, firma y época de revocación
• - Material de firma comprometido rotado por una vía de emergencia
• - Particiones A/B en dispositivos de campo con rollback si falla el arranque
• - Despliegue por etapas antes de aplicar a toda la flota
• - SBOM por firmware y versión cloud; monitorización continua de vulnerabilidades
• - Actualizaciones de seguridad críticas con objetivo de 14 días; altas en 30 días

No se usan: TLS 1.0/1.1, MD5, SHA-1 para firmas, ni claves de sesión de enlace aéreo estáticas sin OTAA.