Seguridad

Modelo de seguridad

Riversoft® STCP Gemini aplica los controles de la transferencia gestionada de archivos (MFT) a los intercambios por el protocolo OFTP: solo los socios autenticados intercambian archivos, los datos viajan cifrados, cada conexión y cada archivo se validan contra las reglas del usuario, la entrega se confirma y todo queda registrado. La seguridad se organiza en capas:

Capa	Cómo protege Riversoft STCP Gemini
Transporte	OFTP 2.0 con TLS 1.2 o TLS 1.3; OFTP 1.x también puede usarse sobre TLS. La Riversoft STCP Gemini API y el Riversoft Console Portal se acceden por HTTPS. Vea TLS.
Autenticación de los socios	Cada socio se identifica con las credenciales OFTP registradas para el usuario, y la conexión se rechaza si el modo de autenticación o el modo de conexión no corresponde a la configuración. En OFTP 2.0, la autenticación puede usar certificados digitales.
Protección de los archivos	En OFTP 2.0, los archivos pueden cifrarse, firmarse y comprimirse, con cifrado simétrico y asimétrico. También hay integración con soluciones externas de protección de datos, como PGP, GPG y Voltage. Vea OFTP.
Confirmación de entrega	El receptor confirma cada archivo con EERP o lo rechaza con NERP, informando el motivo; las confirmaciones quedan registradas.
Reanudación	Una transferencia interrumpida se reanuda desde el punto donde se detuvo, sin reenviar el archivo completo.
Reglas de acceso	Cada conexión y cada archivo se validan contra las reglas del usuario: bloqueo del usuario, límite de conexiones y de tiempo de sesión, límite de sesiones de la instancia, filtros de nombre y tamaño y ventana horaria.
Gestión	El Riversoft Console Portal admite SSO y MFA, y la Riversoft STCP Gemini API usa tokens de acceso. Vea Acceso e identidad.
Configuración	Las contraseñas de base de datos, claves y secretos quedan en archivos de configuración con acceso restringido al usuario y al grupo del servicio.
Trazabilidad	Cada sesión y cada transferencia se registran con usuario, dirección, archivo, tamaño, tiempo, hash y resultado. Vea Monitoreo y auditoría.

Riversoft STCP Gemini transfiere archivos solo por el protocolo OFTP (OFTP 1.x y OFTP 2.0). La seguridad de los demás protocolos y conectores, como SFTP y AS2, está en Seguridad de Riversoft STCP DirectLink.

TLS 1.2 y TLS 1.3

TLS (Transport Layer Security) protege las conexiones OFTP y el acceso a la Riversoft STCP Gemini API y al Riversoft Console Portal. Se admiten TLS 1.2 y TLS 1.3, con configuración de cipher suites y definición de políticas de seguridad.

Finalidad	Algoritmos
Autenticidad	RSA, ECDSA, EdDSA (Ed25519)
Confidencialidad	AES-GCM 128/256, ChaCha20-Poly1305
Integridad	SHA-256, SHA-384, SHA-512

OFTP 1.x y OFTP 2.0

OFTP 2.0 tiene mecanismos de seguridad propios. OFTP 1.x no tiene cifrado propio; en Riversoft STCP Gemini puede usarse sobre TLS para proteger la conexión. Siempre que el socio lo permita, prefiera OFTP 2.0.

En OFTP 2.0, la protección incluye cifrado simétrico y asimétrico, certificados digitales, compresión, configuración de cipher suites y políticas de seguridad.

Finalidad	Algoritmos
Autenticidad	RSA, ECDSA, EdDSA (Ed25519)
Confidencialidad	AES-128, AES-256
Integridad	SHA-256, SHA-384, SHA-512

Nota

La disponibilidad y la configuración de los algoritmos varían según la versión del protocolo, la versión del producto y las políticas de seguridad del entorno.

Acceso e identidad

Los recursos siguientes valen para la gestión: el Riversoft Console Portal y la Riversoft STCP Gemini API.

Single Sign-On

El Riversoft Console Portal admite Single Sign-On (SSO) con proveedores de identidad corporativos, como Microsoft Entra ID, Okta, Google, Keycloak, AWS Cognito y otros compatibles. Con SSO, la autenticación de los operadores se centraliza en el proveedor de la organización.

Protocolos admitidos en el inicio de sesión: SAML 2.0, OAuth 2.0 y LDAP. Los proveedores del tipo JWT los usa Riversoft STCP DirectLink en el intercambio de tokens (token exchange) y no aparecen en el inicio de sesión del Riversoft Console Portal.

Tokens de acceso

El Riversoft Console Portal y la Riversoft STCP Gemini API usan JWT (JSON Web Token) para representar las autorizaciones. Los tokens son válidos durante 60 minutos de forma predeterminada (ajustable en session_duration, hasta 720 minutos) y controlan el acceso a los recursos según los permisos de los grupos del operador autenticado. Vea Autenticación de la Riversoft STCP Gemini API.

Autenticación multifactor

El Riversoft Console Portal y la Riversoft STCP Gemini API tienen autenticación de dos factores (2FA) propia, con un código TOTP generado en una aplicación autenticadora (como Microsoft Authenticator y Google Authenticator). El 2FA se habilita en el registro de la API (API/Supervisión). En el primer inicio de sesión, el operador registra la cuenta en la aplicación con el código QR mostrado.

Nota

Con SSO, el proveedor de identidad puede exigir otros factores, según las políticas de la organización.

Las políticas de contraseña, también definidas en el registro de la API, controlan la longitud mínima, la complejidad, la validez, el historial de contraseñas y el número de fallas hasta el bloqueo del operador.

Control de acceso

La integración con los mecanismos corporativos de identidad permite aplicar políticas centralizadas de autenticación y autorización. Defina operadores, grupos, permisos y políticas de acceso según las reglas de seguridad de la organización.

Autenticación de los usuarios de transferencia

Los usuarios de transferencia se autentican en la instancia del Riversoft STCP Gemini Server. La configuración está en el registro de la instancia, en la sección de autenticación:

Recurso	Opciones
Tipo de autenticación	Sistema operativo, STCP (nativa), RSA SecurID o LDAP.
Autenticación multifactor	Deshabilitada, aplicación autenticadora (TOTP), código por correo electrónico o código por SMS. Se puede deshabilitar para un usuario específico.
Políticas de contraseña	Longitud mínima, complejidad (letras minúsculas y mayúsculas, dígitos y símbolos), validez, historial de contraseñas y número de fallas hasta el bloqueo.

Clave de cifrado de las contraseñas

Las contraseñas guardadas en la base de configuración se cifran con una clave que debe ser la misma en todos los módulos del entorno. Vea cómo definir la clave y qué hacer para cambiarla en Configuración: clave de cifrado de las contraseñas.

Buenas prácticas

Cambie la contraseña predeterminada del operador administrador (stcpadmin) en el primer acceso al Portal.
Habilite TLS en la Riversoft STCP Gemini API (ssl: true) con un certificado válido.
Use la misma clave de cifrado, fuerte y privada, en ApplConfigPassPhrase, applConfigPassPhrase y api_secret. Vea Clave de cifrado de las contraseñas.
Restrinja el acceso a los archivos de configuración al usuario y al grupo del servicio.
Use OFTP 2.0 con TLS 1.3 y cipher suites modernas en las conexiones con socios; con OFTP 1.x, use TLS.
Integre el acceso con el proveedor de identidad corporativo y habilite MFA.

Actualización Administración