Los caminos digitales de los servicios gubernamentales: Descubrir la consolidación y la exposición

Las personas que acceden a sitios web gubernamentales y a sus dominios asociados suelen suponer que el servicio está alojado en el país. Si es así, generalmente se espera que sus datos sigan una ruta directa y local hasta el servidor de alojamiento.

En realidad, incluso cuando un dominio gubernamental está alojado localmente, el camino que siguen nuestros datos puede ser sorprendentemente indirecto, tejiendo a través de redes extranjeras, cruzando fronteras internacionales y pasando por infraestructuras propiedad de entidades de otras jurisdicciones.

Comprender estas dependencias de la red es importante para la soberanía digital, la resiliencia y la seguridad. Si los servicios críticos dependen de redes extranjeras o de infraestructuras excesivamente centralizadas, pueden ser más vulnerables a los cortes, la censura, la vigilancia o la presión política.

Como parte de mi beca de investigación Pulse 2025 de la Internet Society, he trazado estas vías para 58 países con el fin de comprender mejor cómo se llega a los servicios gubernamentales y dónde esas vías pueden poner en peligro el control.

Empecé con una lista curada de dominios gubernamentales en 58 países, utilizando el conjunto de datos introducido en nuestro estudio IMC 2024 sobre el alojamiento de contenidos gubernamentales. Utilizando sondas de medición RIPE Atlas dentro de cada país, ejecutamos traceroutes a estos dominios para mapear la infraestructura "en ruta": las redes de tránsito (Sistemas Autónomos, o ASes) y los Puntos de Intercambio de Internet (IXP) por los que fluye el tráfico.

A continuación, clasificamos esta infraestructura por jurisdicción. ¿Es nacional, de propiedad extranjera o se encuentra en otro país completamente distinto? Esto nos permitió cuantificar qué parte del trayecto está bajo control nacional y dónde se escapa.

En varios países, como Albania, Letonia, Pakistán y los Emiratos Árabes Unidos, más del 10% de las rutas a servicios gubernamentales alojados en el país pasan por instalaciones IXP situadas en un tercer país (es decir, un país distinto de donde se encuentra el usuario o el servidor de alojamiento). 

La dependencia suele ser mucho mayor en el caso de los servicios alojados en el extranjero, ya que entre el 23% y el 43% de las vías de acceso a los servicios gubernamentales de países como Malasia, Noruega, Sudáfrica y Tailandia pasan por puntos de intercambio en jurisdicciones de terceros países.

Kazajstán ofrece un contraste sorprendente. Todos los servicios gubernamentales se alojan en el país, y cualquier tráfico IXP fluye a través de una única central operada por el gobierno. Se trata de una estrategia de soberanía deliberada, aunque también puede crear un único punto de fallo.

Leer: Un informe destaca el papel de Kazajstán en el desarrollo de la resistencia de Internet en Asia Central

Los patrones regionales son igualmente reveladores. 

• Asia Oriental y el Pacífico tienden a mantener las rutas locales o dentro de la región, a menudo a través de centros como Singapur. 
• En Asia Meridional, África Subsahariana y Oriente Medio y el Norte de África, incluso los servicios alojados localmente suelen pasar por jurisdicciones lejanas, la mayoría de las veces en Europa o Asia Oriental.

También estudiamos casos en los que las vulnerabilidades técnicas y políticas se combinan. Nuestras mediciones muestran que los países con una alta exposición al enrutamiento extranjero a menudo también tienen una baja adopción del cifrado HTTPS. Por ejemplo, Albania envía el 86% de sus rutas con destino al gobierno a través de redes extranjeras y el 15% a través de IXP extranjeros, y sin embargo sólo un tercio de sus dominios gubernamentales utilizan HTTPS.

La figura 1 muestra que la adopción de HTTPS varía ampliamente, y que algunos países dejan sin cifrar una parte significativa de los servicios gubernamentales. Con una menor adopción de HTTPS, los datos pueden quedar expuestos a la interceptación o la manipulación, lo que es aún más preocupante cuando atraviesan redes de otras jurisdicciones, aumentando el riesgo de vigilancia o manipulación.

Figura 1- Porcentaje de dominios gubernamentales que soportan HTTPS (directamente o a través de redireccionamientos forzados).

Otro riesgo que medimos procede de una fuerte consolidación, en la que un pequeño número de proveedores transportan la mayor parte del tráfico con destino a los gobiernos. Por ejemplo,

• En los EAU, más de tres cuartas partes de las rutas pasan por una única red, Etisalat.
• En Kazajstán, JSC Kazakhtelecom gestiona más del 70% del tráfico gubernamental.
• Bangladesh, Pakistán y Turquía muestran patrones similares, a menudo arraigados en el legado de los monopolios estatales de telecomunicaciones. 

En estos entornos, una sola interrupción, un error de configuración o una interrupción selectiva podría propagarse a todos los servicios gubernamentales. La figura 2 muestra cómo, en varios países, la mayoría de las vías de tránsito hacia los servicios gubernamentales pasan por los proveedores tradicionales, lo que subraya este riesgo de consolidación.

Figura 2 -Porcentaje de rutas de tránsito con destino al gobierno que cruzan las ASN establecidas.

Por el contrario, descubrimos que países como Canadá, Suecia, Suiza, el Reino Unido y EE.UU. distribuyen su tráfico vinculado al gobierno entre múltiples operadores y puntos de intercambio, lo que crea una mayor resistencia frente a los fallos técnicos y las conmociones geopolíticas.

Estos resultados ponen de relieve que la mejora de la soberanía digital no consiste únicamente en el alojamiento nacional. Las rutas también importan.

Para los países que pretenden reducir su dependencia de las infraestructuras extranjeras, esto podría significar:

• Invertir en IXP nacionales para que el tráfico local siga siendo local
• Diversificar los proveedores de tránsito para mitigar los puntos únicos de fallo
• Mejorar la cobertura del cifrado para que, cuando el tráfico cruce las fronteras, esté protegido.

Este trabajo contribuye a una agenda de investigación más amplia sobre la resiliencia de Internet, centrada en la infraestructura física y lógica que sustenta la conectividad global. Dentro de este contexto, nuestro estudio examina la transparencia de la infraestructura que presta servicios web como lente para comprender sus implicaciones para la resiliencia, la seguridad y el control.

Rashna Kumar es doctoranda de último curso en el grupo de investigación AquaLab del profesor Bustamante, Departamento de Informática de la Universidad Northwestern.

Las opiniones expresadas por los autores de este blog son suyas y no reflejan necesariamente los puntos de vista de la Internet Society.