EL CIFRADO WEB (SSL/TLS)

¿QUÉ ES SSL/TLS?

SSL (Secure Sockets Layer) traducido al español significa Capa de Conexiones Seguras. Es un protocolo que hace uso de certificados digitales para establecer comunicaciones seguras a través de Internet. Recientemente ha sido sustituido por TLS (Transport Layer Security) el cual está basado en SSL y son totalmente compatibles.

Te permite confiar información personal a sitios web, ya que tus datos se ocultan a través de métodos criptográficos mientras navegas en sitios seguros.

Es utilizado ampliamente en bancos, tiendas en línea y cualquier tipo de servicio que requiera el envío de datos personales o contraseñas. No todos los sitios web usan SSL, por eso debes ser cuidadoso.

¿CÓMO FUNCIONA?

Antes de entender cómo funciona esta tecnología, es necesario abordar algunos conceptos importantes y que forman parte del funcionamiento interno de SSL/TLS.

CIFRADO, NO ENCRIPTADO

El cifrado es el proceso que transforma tu información de manera que no cualquier usuario pueda entenderla, se realiza con base a un elemento único conocido como llave, así nadie, excepto el poseedor puede leerla. El procedimiento inverso al cifrado es el descifrado. También puedes ver el Cifrado de una Base de Datos.

La palabra correcta para describir el proceso de ocultamiento de información es cifrado, usualmente encontrarás literatura con el término encriptado, el cual es incorrecto.

LLAVE PÚBLICA Y LLAVE PRIVADA

Son un par de “llaves” digitales asociadas a una persona o entidad y generadas mediante métodos criptográficos. La llave pública es usada para cifrar la información, haciendo una analogía, es como la llave utilizada para cerrar una puerta y mantener fuera a cualquier persona mientras que la llave privada se usa para descifrar, es decir, la llave que abre la puerta y sólo la posee la persona autorizada, por lo tanto ésta debe mantenerse en secreto.

FIRMA DIGITAL

Del mismo modo que tu firma autógrafa, es un elemento que te identifica y distingue de las demás personas y que al firmar con ella adquieres derechos y obligaciones. La firma digital se genera con base a la llave privada de quien firma y por lo tanto es única.

AUTORIDAD CERTIFICADORA (AC)

Una Autoridad Certificadora (AC, en inglés CA) es una entidad confiable que se encarga de garantizar que el poseedor de un certificado digital sea quien dice ser, bridando confianza a ambas partes de una comunicación segura SSL/TLS.

CERTIFICADO DIGITAL SSL/TLS

Es un documento digital único que garantiza la vinculación entre una persona o entidad con su llave pública.

Contiene información de su propietario como nombre, dirección, correo electrónico, organización a la que pertenece y su llave pública, así como información propia del certificado por mencionar: periodo de validez, número de serie único, nombre de la AC que emitió, firma digital de la AC cifrada con su llave privada y otros datos más que indican cómo puede usarse ese certificado.

HTTPS

Simplemente es una combinación del protocolo HTTP (usado en cada transacción web) con el protocolo SSL/TLS usada para establecer comunicaciones cifradas en sitios web.

FUNCIONAMIENTO

SSL/TLS es una tecnología compleja, pero una vez entendidos los conceptos anteriores comprenderás el funcionamiento de este protocolo de forma general. Usemos un ejemplo con el cual posiblemente estés familiarizado.

Supongamos que intentas acceder al sitio de Facebook de forma segura, es decir, usando “https” en la dirección web. Inmediatamente, aparecerá la página en pantalla y en alguna parte de tu navegador observarás un “candado”, dependiendo del navegador que uses (Imagen 1). Si no viste ningún mensaje de advertencia (generalmente en tonos rojos), el protocolo SSL/TLS ha hecho su trabajo.

Imagen 1. Uso de protocolo HTTPS

SSL/TLS funciona de forma transparente para ti, lo que en realidad ocurre cuando intentas acceder a un sitio seguro se asemeja al siguiente diagrama.

Diagrama 1. Funcionamiento general de SSL/TLS

INICIANDO COMUNICACIÓN SEGURA

En el punto dos del Diagrama 1, cuando el navegador hace una petición al sitio seguro de Facebook, éste envía un mensaje donde indica que quiere establecer una conexión segura y envía datos sobre la versión del protocolo SSL/TLS que soporta y otros parámetros necesarios para la conexión.

En base a esta información enviada por el navegador, el servidor web de Facebook responde con un mensaje informando que está de acuerdo en establecer la conexión segura con los datos de SSL/TLS proporcionados.

Una vez que ambos conocen los parámetros de conexión, el sitio de Facebook presenta su certificado digital al navegador web para identificarse como un sitio confiable.

VERIFICACIÓN DE VALIDEZ DEL CERTIFICADO

Una vez que el navegador tiene el certificado del sitio web de Facebook, realiza algunas verificaciones antes de confiar en el sitio:

Integridad del certificado: Verifica que el certificado se encuentre íntegro, esto lo hace descifrando la firma digital incluida en él mediante la llave pública de la AC y comparándola con una firma del certificado generada en ese momento, si ambas son iguales entonces el certificado es válido.

Vigencia del certificado: Revisa el periodo de validez del certificado, es decir,  la fecha de emisión y la fecha de expiración incluidos en él.

Verifica emisor del certificado: Hace uso de una lista de Certificados Raíz almacenados en tu computadora y que contienen las llaves públicas de las ACs conocidas y de confianza (Imagen 2). Puedes acceder a esta lista desde las opciones avanzadas de tu navegador web (en este caso usamos Google Chrome).

Con base a esta lista, el navegador revisa que la AC del certificado sea de confianza, de no serlo, el navegador mostrará una advertencia indicando que el certificado fue emitido por una entidad en la cual no confía.

Imagen 2. Certificados raíz

ESTABLECIENDO LA CONEXIÓN SEGURA

¡Listo!, una vez que el certificado cumplió con todas las pruebas del navegador, se establece la conexión segura al sitio de Facebook, lo cual se traduce en seguridad para tus valiosos datos personales.

PUNTO DÉBIL DE LA TECNOLOGÍA SSL/TLS

Es importante que estés consciente que pese acceder  sólo a sitios seguros, la tecnología SSL/TLS no garantiza al 100% que tu información esté segura; considera que, como toda creación humana, tiene fallos. Los atacantes se han vuelto muy hábiles e ingeniosos para burlar estos mecanismos de seguridad.

Por ello, debes tomar algunas medidas preventivas antes de realizar transacciones en línea que puedan poner en riesgo tu información.

CASO REAL

Un caso real que ejemplifica el mal uso de esta tecnología fue publicado en el artículo ‘Troyano bancario secuestra conexiones SSL’, el cual puedes consultar en http://www.seguridad.unam.mx/noticias/?noti=4419. En este artículo se detalla un troyano (Trojan.Tatanarg) capaz de secuestrar conexiones SSL/TLS al momento de realizar transacciones bancarias en línea. A grandes rasgos lo que hace este troyano es:

Supongamos que deseas realizar una operación bancaria en línea. Al ingresar a la página web de tu banco, durante el proceso de conexión SSL/TLS, el banco envía a tu navegador su certificado y su llave pública firmados, elementos que utilizará para cifrar la información a transmitir. El troyano se interpone entre el servidor del banco y tu navegador tomando la llave pública y la información del certificado para cifrar su propio canal de comunicación, mientras tanto, del lado del navegador el troyano inserta su certificado auto-firmado (certificado falso) de tal manera que el “candadito de seguridad” siempre está visible durante la conexión y así la presencia del troyano resulta imperceptible. (Imagen 3).

Cuando envías tu información al banco, ésta es cifrada utilizando el certificado falso e interceptada por el mismo troyano, quien la manipula y transfiere al banco para que éste la procese.

Imagen 3. Ataque de troyano “Trojan.Tatanarg”

Empleando el certificado falso, el troyano es capaz de descifrar y leer la información que compartas con el banco, posiblemente reenviándola a un atacante para que éste haga mal uso de ella, por ejemplo robando tu identidad.

RECOMENDACIONES

• Evita hacer uso de computadoras y redes públicas, sobre todo si vas a utilizar el servicio de banca en línea, realizar cualquier tipo de compra o transferir información valiosa para ti.
• Instala un antivirus y procura mantenerlo actualizado. Al final de este artículo se listan algunas soluciones gratuitas que pueden ayudarte.
• Es importante mantener actualizado tu navegador, ya que si no lo haces, eres más susceptible a ataques. Consulta el sitio web oficial del navegador que elijas y obtén la versión más reciente.
• Cuando utilices HTTPS, verifica la vigencia del certificado, esto lo puedes hacer observando en el periodo de validez del mismo (Imagen 4).

Imagen 4. Verificando vigencia del certificado

Fuente ==> http://itechnode.com/el-cifrado-web-ssltls

Ing. Alex Taya

Saludos.