Estás en una cafetería con un espresso decente y un Wi-Fi cuestionable, y necesitas el escritorio de tu casa. ¿Es seguro conectarse? Depende por completo del cifrado del transporte: una sesión cifrada de extremo a extremo es segura en la red más dudosa de la ciudad, y un protocolo antiguo sin cifrar no es seguro ni en la mejor. Aquí está el modelo de amenazas en lenguaje sencillo, los protocolos ordenados por lo que filtran y la lista para la próxima vez que te conectes desde un lugar que no controlas.
Qué puede ver realmente el Wi-Fi público
En una red que no controlas, dos partes están en posición de observar tu tráfico. La primera es el operador: quien administra el punto de acceso y el router detrás de él, que en un Wi-Fi público significa el local, su contratista de redes o cualquiera que haya montado discretamente un punto de acceso con el nombre del local. La segunda son otros dispositivos cercanos: en redes sin aislamiento de clientes, una laptop dos mesas más allá puede capturar el tráfico que circula a su alrededor. «Observar» significa registrar los paquetes que envías y recibes. Toda la cuestión es qué contienen esos paquetes.
- Si el protocolo no está cifrado, los paquetes contienen el contenido. En el escritorio remoto es tan malo como suena: fotogramas de pantalla, cada pulsación que envías —incluidas las contraseñas que escribes en la máquina remota— y, en los peores casos antiguos, credenciales intercambiadas al conectarse.
- Si el protocolo está bien cifrado, los paquetes contienen texto cifrado. La observación se reduce a metadatos: con qué extremos intercambiaste tráfico, cuándo y cuánto. Basta para deducir que usaste una app de escritorio remoto; no sirve para recuperar lo que pasó dentro de la sesión.
Conviene calibrar con la realidad actual y no con las historias de terror de 2010. La mayor parte del tráfico que genera hoy una laptop ya está cifrado: HTTPS le quitó el drama a espiar casualmente una cafetería. Las amenazas residuales realistas son la observación de metadatos y los puntos de acceso falsos: un atacante que transmite el nombre de la red del local para ponerse en el camino, esperando atrapar lo que se negocie de forma débil —protocolos antiguos, avisos de certificado descuidados, dispositivos que se unen solos a nombres conocidos—. Eso no es motivo para temerle a la red. Es una descripción precisa de qué herramientas llevar: las que no negocian de forma débil.
Los protocolos, ordenados por lo que filtran
Aquí los nombres de producto importan menos que las configuraciones: el mismo software puede estar bien o ser alarmante según la versión y los ajustes, así que el orden de abajo es por configuración, de peor a mejor.
- RDP simple sin TLS ni NLA (heredado). La capa de seguridad original de RDP es anterior a la seguridad de transporte moderna, y un cliente dispuesto a negociarla puede ser llevado hasta ella por un atacante en medio. Las versiones actuales de Windows usan por defecto TLS con autenticación a nivel de red, así que esto describe sobre todo hosts antiguos, clientes antiguos y políticas de grupo relajadas por compatibilidad; pero en una red hostil, una sesión que se puede degradar debe tratarse como legible.
- VNC sin cifrado. El protocolo VNC clásico envía el framebuffer —tu pantalla real— en claro, y su inicio de sesión tradicional por desafío-respuesta es débil para los estándares actuales, con contraseñas que suelen limitarse a ocho caracteres. Algunos servidores y clientes agregan TLS encima o funcionan sobre SSH; muchas configuraciones rápidas no. VNC sin cifrar en un Wi-Fi compartido filtra lo que hay en pantalla a cualquiera que registre paquetes.
- RDP con TLS y NLA. El estándar actual, y en la red resiste: la sesión está cifrada en transporte desde tu cliente hasta el host o la puerta de enlace, y NLA exige autenticación antes de que se cree siquiera una sesión. En un Wi-Fi público el punto débil práctico es humano: los certificados autofirmados vuelven rutinarios los avisos, y un usuario acostumbrado a pasarlos con un clic es justo lo que espera un punto de acceso falso. El cifrado de transporte tampoco dice nada sobre la exposición: dejar el puerto 3389 abierto a internet es un error distinto y bien documentado, te conectes desde donde te conectes.
- Apps modernas con cifrado de extremo a extremo. Las sesiones se cifran de dispositivo a dispositivo antes de que cualquier red las toque. La red del hotel, y todo lo que hay más allá, ve metadatos de conexión: texto cifrado que fluye entre extremos, con su momento y volumen. Nunca píxeles, nunca pulsaciones, nunca credenciales, porque no hay credenciales de protocolo que robar.
| Configuración | Lo que obtiene un observador en la red | Veredicto en Wi-Fi público |
|---|---|---|
| RDP simple, sin TLS/NLA | Contenido de la sesión donde una degradación tiene éxito; credenciales en riesgo | No lo uses: asume que es legible |
| VNC sin cifrado | Contenido de pantalla en claro; inicio de sesión débil | No lo uses |
| RDP con TLS + NLA | Texto cifrado en tránsito; los avisos de certificado son el punto débil | Aceptable a través de un túnel; nunca expongas el 3389 |
| App moderna con cifrado de extremo a extremo | Solo texto cifrado y metadatos de conexión | Hecho justo para esto |
Por qué el cifrado de extremo a extremo cambia la respuesta
El cifrado de transporte protege un salto; el cifrado de extremo a extremo protege la conversación. La diferencia suena académica hasta que enumeras quién está entre una cafetería y tu escritorio de casa: el punto de acceso del local, su proveedor de internet, el tuyo y, posiblemente, el servidor relay de un proveedor. Con cifrado de extremo a extremo, las claves se acuerdan directamente entre tus dos dispositivos y los fotogramas se cifran antes de salir del dispositivo. Todas las partes de esa lista, incluida la propia infraestructura del proveedor, reenvían texto cifrado para el que no tienen clave.
Remio está construido exactamente sobre este modelo, así que sirve de ejemplo práctico. La confianza se establece cuando emparejas dos dispositivos con un código QR o un ID de dispositivo y un PIN que lees en la pantalla del host: no hay cuenta, así que no hay contraseña que suplantar en la cafetería ni base de credenciales que vulnerar. Las claves de sesión se negocian directamente entre los dispositivos emparejados en cada conexión, y cada fotograma, pulsación, sincronización del portapapeles y transferencia de archivos se cifra de extremo a extremo. Cuando una red estricta obliga a pasar la sesión por un relay cifrado, el relay reenvía fotogramas cifrados que no puede leer: el modelo de seguridad es idéntico tanto si la ruta es directa como si pasa por relay. El diseño completo está en la página de seguridad.
El objetivo no es encontrar un Wi-Fi confiable. Es hacer irrelevante si el Wi-Fi es confiable.
Un límite honesto: el cifrado de extremo a extremo protege la sesión en tránsito, y nada más. Si la laptop de la cafetería está comprometida, o el host de casa lo está, el cifrado más fuerte entre ambos no cambia nada: el atacante está dentro de un extremo, leyendo lo que tú lees. La higiene de los equipos, el historial de brechas del proveedor y el resto del panorama de refuerzo son otro artículo, y lo escribimos: la guía de seguridad del escritorio remoto. Este se queda en la red.
La lista para la cafetería
Seis puntos, en el orden en que rinden.
- Prefiere una app de escritorio remoto con cifrado de extremo a extremo. Resuelve la cuestión del Wi-Fi público por diseño y no por disciplina: la red lleva texto cifrado aunque no hayas hecho bien nada más de esta lista.
- Si estás atado a RDP, nunca expongas el puerto 3389. Llégale por una VPN u otro túnel cifrado en lugar de un reenvío de puerto en el router; las alternativas, incluidas las apps solo salientes que no necesitan ningún cambio en el router, están en nuestra guía de escritorio remoto sin reenvío de puertos.
- Deja que el firewall del sistema trate la red como pública. Cuando macOS o Windows te pregunte qué tipo de red es, el perfil público es la respuesta correcta: evita que el uso compartido de archivos, el descubrimiento y otros servicios en escucha sean visibles para desconocidos en la misma red.
- Mantén el cliente actualizado. Un cliente de escritorio remoto procesa datos complejos que llegan de una red en la que has decidido no confiar. Los parches existen por algo; en una máquina que viaja, la actualización automática es el ajuste correcto.
- Verifica que estás en la red real del local. Pregunta el nombre exacto de la red e ignora los parecidos: un punto de acceso puede transmitir cualquier nombre que su dueño escriba. Decirle a tu laptop que olvide la red al irte también evita que se una sola a una imitación el mes que viene.
- Trata la propia sesión como lo sensible. Estás operando tu máquina de casa o de la oficina desde un lugar público: fíjate en quién puede ver tu pantalla y bloquea el host remoto al desconectarte para no dejar un escritorio abierto a tus espaldas.
¿Y una VPN encima?
Una VPN cifra todo entre tu dispositivo y el servidor VPN, y en un Wi-Fi no confiable eso es realmente útil: protege las consultas DNS, el parloteo de las apps en segundo plano y cualquier tráfico suelto sin cifrar frente a la red local. Si de todos modos usarías una en el aeropuerto, nada del escritorio remoto va en contra.
Para la sesión de escritorio remoto en concreto, sin embargo, la lógica es más acotada y corta en ambos sentidos. Una VPN no es necesaria para una sesión con cifrado de extremo a extremo: el tráfico ya es texto cifrado antes de llegar al túnel, así que la VPN suma un salto (y normalmente algo de latencia) sin añadir confidencialidad que a la sesión le falte. Y no es suficiente para una sin cifrar: una VPN comercial protege la ruta hasta el servidor de salida de la VPN, después de lo cual el tráfico sigue hasta el host tan expuesto como empezó. La excepción que confirma la regla es un túnel que termina dentro de la propia red de destino —un servidor WireGuard en el router de tu casa, una VPN corporativa a la oficina—, que sí cubre toda la ruta y es la forma estándar de usar RDP de manera remota. Si estás comparando una VPN con una app de escritorio remoto como método de acceso en sí, esa es otra comparación y tiene su propio artículo: escritorio remoto vs VPN.
Hotel, aeropuerto, campus: las rarezas de red que rompen conexiones
Dejando la seguridad aparte, las redes públicas tienen otro rasgo de carácter: rompen conexiones de formas en que las redes domésticas no lo hacen. Tres rarezas explican la mayor parte.
- Portales cautivos. Hasta que abres un navegador y aceptas los términos, la red descarta todo: una app de escritorio remoto se quedará fallando sin motivo visible. Completa primero el portal; y si una sesión que funcionó toda la tarde muere a la tercera hora, sospecha de un portal que se reautentica con un temporizador.
- Aislamiento de clientes. Los hoteles y campus suelen bloquear el tráfico entre dispositivos dentro de la red, así que dos dispositivos tuyos en la misma habitación pueden ser invisibles entre sí en la LAN. Las apps P2P solo salientes siguen conectando —ambos dispositivos marcan hacia fuera y se encuentran por internet—, pero la ruta puede ser más larga que la habitación donde estás sentado.
- Bloqueo de UDP. Las redes de invitados estrictas a veces permiten poco más que TCP en puertos web. Los protocolos en tiempo real prefieren UDP, y aquí es donde las apps se diferencian: una con respaldo por TCP y relay sigue conectando, con algún costo en latencia, mientras que una configuración solo UDP se detiene. La mecánica —descubrimiento de direcciones, hole punching y qué respaldo entra cuándo— está en nuestra explicación de NAT traversal, y los puertos y protocolos exactos que usa una sesión están en la documentación de firewall y NAT.
Preguntas frecuentes
¿Es seguro usar el escritorio remoto en el Wi-Fi de un hotel?
Sí, si la sesión tiene cifrado de extremo a extremo. Con una app moderna de escritorio remoto con E2EE, la red del hotel solo lleva texto cifrado, así que ni el operador ni otros huéspedes pueden recuperar tu pantalla, tus pulsaciones ni tus archivos. Los casos de riesgo son las configuraciones antiguas: RDP sin TLS ni NLA, o VNC sin cifrado, pueden exponer el contenido de la sesión y las credenciales a la red y no deben usarse en el Wi-Fi de un hotel sin un túnel cifrado.
¿Puede alguien en el mismo Wi-Fi ver mi pantalla remota?
No, si la sesión tiene cifrado de extremo a extremo. Alguien en la misma red puede capturar tus paquetes, pero con E2EE esos paquetes son texto cifrado y las claves existen solo en tus dos dispositivos, así que el contenido de la pantalla no se puede recuperar de la captura. Lo que un observador en la misma red aún puede ver son metadatos: que existe una conexión, cuándo está activa y más o menos cuántos datos mueve.
¿Necesito una VPN para usar Remio en Wi-Fi público?
No. Las sesiones de Remio ya tienen cifrado de extremo a extremo —las claves se negocian directamente entre tus dispositivos en cada sesión—, así que la sesión no depende de que la red sea confiable. Una VPN aún añade privacidad para el resto de tu tráfico, como las consultas DNS y otras apps, y usar Remio a través de una está bien. Es una decisión sobre tu otro tráfico, no un requisito para la sesión.
¿Es seguro RDP en Wi-Fi público?
Con TLS y autenticación a nivel de red —el estándar actual de Windows—, la sesión está cifrada en transporte, así que un espía en la red de la cafetería ve texto cifrado. La regla permanente trata de la exposición y no del lugar: nunca abras el puerto 3389 directamente a internet; llega a RDP por una VPN u otro túnel cifrado. Las configuraciones antiguas que pueden degradarse a la seguridad RDP heredada sin TLS deben considerarse inseguras en cualquier red no confiable.
¿Qué sigue sabiendo el operador del Wi-Fi?
Metadatos de conexión. Incluso con una sesión totalmente cifrada de extremo a extremo, el operador de la red puede observar los momentos, el volumen de tráfico y los extremos con los que intercambias paquetes: suficiente para deducir que hubo una sesión de escritorio remoto y cuánto duró. Lo que no puede recuperar es el contenido: ni fotogramas de pantalla, ni pulsaciones, ni archivos, ni portapapeles.
El hilo conductor de todo: el lugar no decide si tu sesión es segura; lo decide el cifrado. Si quieres la versión que no requiere ninguna lista, instala Remio en ambas máquinas, empáralas con un código QR o un ID de dispositivo y un PIN, y conéctate desde la red que te toque ese día; la sesión tiene cifrado de extremo a extremo de cualquier forma. La página de cómo funciona muestra lo que pasa por dentro.
