Phenquestions
Bienvenido a la guía para principiantes de TLS y SSL. Profundizaremos en las aplicaciones de la cartografía asimétrica o de clave pública.
¿Qué es la criptografía asimétrica??
La criptografía de clave pública se introdujo a principios de 1970. Junto con esto, surgió la idea de que en lugar de usar una única clave para cifrar y descifrar un dato, se deberían utilizar dos claves independientes: cifrado y descifrado. Esto significa que la clave utilizada para cifrar la información no es relevante para la cuestión de descifrar esa información. También se conoce como criptografía asimétrica.
Este es un concepto novedoso, y para profundizar en él se requeriría el uso de cálculos muy intrincados, por lo que guardaremos esa discusión para otro momento.
¿Qué son TLS y SSL??
TLS significa Transport Layer Security, mientras que SSL es una abreviatura de Secure Socket Layer. Ambas son aplicaciones de criptografía de clave pública y, juntas, han hecho que los usuarios de Internet puedan realizar comunicaciones a través de Internet.
Qué son exactamente estos dos se explica a continuación.
¿En qué se diferencia TLS de SSL??
TLS y SSL utilizan el enfoque asimétrico del cifrado para proteger las comunicaciones a través de Internet (apretones de manos). La principal diferencia entre los dos es que SSL es el resultado de la innovación comercial y, por lo tanto, una propiedad de su empresa matriz, que es Netscape. Por el contrario, TLS es un estándar del grupo de trabajo de ingeniería de Internet, una versión ligeramente actualizada de SSL. Fue nombrado de manera diferente para evitar problemas de derechos de autor y potencialmente una demanda.
Para ser precisos, TLS viene con algunos atributos que lo separan de SSL. En TSL, los apretones de manos se establecen sin seguridad y se fortalecen con el comando STARTTLS, que no es el caso en SSL.
TSL se considera una mejora en SSL porque permite que los apretones de manos que normalmente son inseguros o inseguros se actualicen a un estado seguro.
Qué hace que las conexiones TLS sean más seguras que SSL?
Ha habido una intensa competencia en los mercados de seguridad informática. SSL 3.0 no pudo seguir el ritmo de Internet y quedó obsoleto en 2015. Hay varias razones detrás de esto, principalmente relacionadas con las vulnerabilidades que no se pudieron haber corregido. Una de esas susceptibilidades es la compatibilidad de SSL con cifrados que son capaces de resistir los ciberataques modernos.
La vulnerabilidad permanece con TLS 1.0, ya que un intruso podría forzar un SSL 3.0 en el cliente y luego explotar su vulnerabilidad. Este ya no es el caso con la nueva actualización de TLS.
¿Qué medidas podemos tomar??
Si estás en el extremo receptor, mantén tu navegador actualizado. Hoy en día, todos los navegadores vienen con soporte integrado para TLS 1.2, por lo que mantener la seguridad no es tan difícil para los clientes. Sin embargo, los usuarios deben tomar precauciones cuando vean señales de alerta. Prácticamente todos los mensajes de advertencia de sus navegadores apuntan a tales banderas rojas. Los navegadores web modernos son excepcionales para detectar si ocurre algo sospechoso en un sitio web.
Los administradores del servidor que alojan sitios web tienen mayores responsabilidades sobre sus hombros. Hay mucho que puede hacer al respecto, pero comencemos a mostrar un mensaje cuando un cliente esté usando software desactualizado.
Por ejemplo, aquellos que usan máquinas Apache como servidores deberían probar esto:
$ SSLOptions + StdEnvVars$ RequestHeader estableció X-SSL-Protocol% SSL_PROTOCOL s
$ RequestHeader estableció X-SSL-Cipher% SSL_CIPHER s
Si está utilizando PHP, busque $ _SERVER dentro del script. Si encuentra algo que indique que TLS está desactualizado, se mostrará un mensaje en consecuencia.
Para fortalecer mejor la seguridad de su servidor, existen utilidades gratuitas que prueban el sistema en busca de susceptibilidad a las deficiencias de TLS y SSL. Algunos de ellos pueden configurar aún mejor su servidor. Si le gusta esa idea, consulte Mozilla SSL Configuration Generator, que básicamente hace todo el trabajo para que usted configure su servidor para minimizar los riesgos de TLS y tal.
Si desea probar su servidor para detectar susceptibilidades SSL, consulte Qualys SSL Labs. Ejecuta una configuración automatizada que es a la vez completa e intrincada si está orientado a los detalles.
En resumen
A fin de cuentas, el peso de la responsabilidad recae sobre los hombros de todos.
Con el advenimiento de las computadoras y las técnicas modernas, los ciberataques se han vuelto cada vez más impactantes y a gran escala con el tiempo. Todos los usuarios de Internet deben tener un conocimiento adecuado de los sistemas que protegen su privacidad en línea y tomar las precauciones necesarias mientras se comunican a través de Internet.
En cualquier caso, siempre es mucho mejor utilizar el código abierto, ya que son más seguros, gratuitos y pueden hacer el trabajo.
