Hace algún tiempo, el ahijado de mi madre (diez años) me mostró contenido gore explícito desde su celular, con la misma naturalidad con la que alguien podría mostrarte un meme, un video gracioso, o alguna tendencia completamente irrelevante de TikTok.

No parecía sorprendido, asustado, ni mucho menos consciente de que quizás aquello no era algo que debería estar viendo.

Simplemente, era normal.

Y aquí fue donde comenzó todo.

Mi primera reacción no fue pensar cómo podía bloquear una página específica, sino cómo evitar que ese tipo de contenido terminara convirtiéndose en algo cotidiano. Cómo hacer que internet fuese un lugar un poco más seguro, o al menos, un lugar donde ciertas cosas no aparecieran con tanta facilidad.

El problema, es que soy AppSec durante el día, y durante la noche suelo dedicarme a romper cosas en mi homelab, por lo que mi interpretación de “hacer internet más seguro” estuvo bastante alejada de sentarme a conversar tranquilamente sobre los riesgos de internet.

En lugar de eso, pensé en infraestructura.

Pensé en DNS, logs, bloqueos, reglas de firewall, tráfico, dashboards, listas de dominios y observabilidad. En otras palabras, intenté resolver un problema humano de la forma menos humana posible.

Creí que la infraestructura podía solucionarlo.

No fue una idea completamente improvisada. Ya tenía un homelab donde constantemente creo, elimino y vuelvo a crear VMs y LXCs, generalmente con la excusa de aprender alguna cosa nueva. También tenía un MikroTik, Pi-hole y unos treinta metros de cable ethernet tirados hasta una habitación de tres por tres.

Por lo tanto, tenía todos los ingredientes necesarios para convertirme, nuevamente, en un meme.

La idea inicial era sencilla: si podía controlar por dónde pasaba el tráfico de mi red, también podía controlar qué contenido era accesible desde ella.

Internet entraría desde el ISP, pasaría por el MikroTik, el cual funcionaría como router, gateway y DHCP de la red, mientras que todas las consultas DNS serían resueltas por Pi-hole. Desde ahí podría bloquear dominios maliciosos, publicidad, trackers, contenido para adultos y cualquier otra cosa que no quisiera circulando por la casa.

Y se escucha genial.

Casi como si supiera perfectamente lo que estaba haciendo.

Además, Pi-hole me permitiría resolver mis propios dominios locales .home, por lo que podría acceder a servicios como pi.home, mientras observaba en un dashboard todo lo que sucedía en la red.

Bloqueo centralizado, estadísticas, consultas DNS, listas con una cantidad absurda de dominios y la sensación de que, si algo pasaba por mi red, al menos podía verlo.

Durante un tiempo, aquello se sintió como tener el control.

Pero había un problema.

Internet no funciona únicamente dentro de mi red, y los dispositivos tampoco parecen estar demasiado interesados en respetar las decisiones de quien paga el router.

Comenzaron a aparecer consultas DNS extrañas, aplicaciones comunicándose con servicios que nunca había solicitado, televisores inteligentes enviando tráfico durante la madrugada y dispositivos haciendo cosas por su cuenta, como si mi casa fuese una especie de zoológico conectado por DHCP.

Cuanto más observaba, más cosas quería bloquear.

Y cuanto más bloqueaba, más cosas dejaban de funcionar.

Algunas aplicaciones simplemente se rompían. Otras utilizaban sus propios resolvers. Algunas ignoraban completamente el DNS configurado en la red, mientras otras comenzaban a utilizar DNS over HTTPS, cifrando las consultas y saltándose una buena parte del filtrado tradicional.

A eso se sumaba algo todavía más sencillo: los datos móviles.

Podía configurar reglas, redirecciones, filtros y bloqueos dentro de mi casa, pero bastaba con desactivar el Wi-Fi para que toda aquella infraestructura quedara reducida a un conjunto bastante bonito de dashboards.

Y aquí fue donde descubrí algo que, en seguridad, muchas veces intentamos ignorar.

El usuario siempre gana.

No importa cuántas restricciones existan, cuántas aplicaciones sean bloqueadas, ni cuántas reglas tenga el firewall. Si alguien realmente quiere acceder a algo, eventualmente encontrará una forma de hacerlo.

Incluso si tiene diez años.

Cuanto más rígido se volvía el sistema, más creativas se volvían las formas de evitarlo. Y en algún punto, dejé de construir un entorno seguro para comenzar a crear una competencia entre mi infraestructura y quienes utilizaban la red.

Una competencia bastante absurda, considerando que el objetivo nunca debería haber sido ganar.

Porque seguridad, no es lo mismo que control.

Me llevó un tiempo entenderlo, principalmente porque en infraestructura el control suele sentirse bien. Ver todo ordenado, los dispositivos correctamente identificados, las consultas pasando por donde deberían y las políticas aplicándose de forma centralizada transmite cierta tranquilidad.

Pero esa tranquilidad puede ser falsa.

Podía bloquear millones de dominios y aun así no enseñar por qué un enlace podía ser peligroso. Podía reducir el acceso a ciertas aplicaciones, pero no explicar cómo funcionan los algoritmos de recomendación. Podía evitar que apareciera determinado contenido dentro de mi red, pero no impedir que apareciera en la casa de un amigo, en otro dispositivo, o mediante datos móviles.

El problema nunca fue únicamente el contenido.

También era la atención infinita, la sobreestimulación constante, los algoritmos diseñados para retener usuarios y un feed que nunca se termina. Plataformas compitiendo durante todo el día por unos segundos más de atención, recomendando contenido cada vez más extremo porque, muchas veces, es aquello que genera una reacción.

Internet nunca deja de intentarlo.

Y no existe una regla de firewall capaz de solucionar eso.

Dicho esto, tampoco significa que todo el trabajo técnico haya sido inútil. Reducir la exposición sigue siendo importante. Tener menos aplicaciones, menos trackers, menos publicidad, menos servicios innecesarios y menos configuraciones peligrosas por defecto, claramente ayuda.

Bloquear contenido malicioso ayuda.

Forzar ciertos dispositivos a utilizar un DNS controlado ayuda.

Tener visibilidad sobre lo que sucede dentro de la red también ayuda.

Pero ninguna de esas cosas funciona por sí sola.

La otra parte, probablemente la más importante, es también la menos interesante de mostrar en un dashboard: conversar sobre tecnología, explicar qué es phishing, cómo funcionan las recomendaciones, por qué una aplicación quiere mantenernos mirando la pantalla y por qué no todo lo que aparece en internet merece nuestra atención.

Suena bastante obvio cuando se escribe de esta forma.

En la práctica, puede ser mucho más difícil que configurar un MikroTik, y eso ya es decir bastante.

Al final, mi intento de crear “internet seguro” terminó enseñándome algo bastante distinto. El objetivo nunca fue controlar internet, porque internet no parece tener demasiado interés en ser controlado.

El objetivo era reducir la exposición, acompañar y enseñar a navegarlo.

Pi-hole sigue funcionando. El MikroTik continúa mandando dentro de la red. Los treinta metros de cable todavía están ahí, y probablemente continúe agregando reglas, listas y nuevas ideas que no necesito.

Pero ahora entiendo que toda esa infraestructura es solamente una capa.

Una herramienta.

No una solución completa.

Quizás nunca podamos controlar internet.

Pero todavía podemos enseñar a navegarlo.