SSL (Secure Sockets Layer) y su sucesor TLS (Transport Layer Security), son protocolos para establecer enlaces autenticados y encriptados entre computadoras en red. Aunque el protocolo SSL quedó obsoleto con el lanzamiento de TLS 1.0 en 1999, todavía es común referirse a estas tecnologías relacionadas como "SSL" o "SSL /TLS. " La versión más actual es TLS 1.3, definido en RFC 8446 (Agosto 2018).
Siga leyendo para obtener más información sobre:
- Preguntas frecuentes sobre SSL /TLS
- Llaves, certificados y apretones de manos
- SSL /TLS y navegación web segura
- Obtener un SSL /TLS Certificado
O, para una introducción rápida de TL; DR a SSL, simplemente avance para ver un breve video.
Preguntas frecuentes
SSL (Secure Sockets Layer) y su sucesor TLS (Transport Layer Security), son protocolos para establecer enlaces autenticados y encriptados entre computadoras en red. Aunque el protocolo SSL quedó obsoleto con el lanzamiento de TLS 1.0 en 1999, todavía es común referirse a estas tecnologías relacionadas como "SSL" o "SSL /TLS."
An Certificado SSL (también conocido como TLS o SSL /TLS certificado) es un documento digital que vincula la identidad de un sitio web a un par de claves criptográficas que consta de una clave pública y una clave privada. La clave pública, incluida en el certificado, permite que un navegador web iniciar una sesión de comunicación cifrada con un servidor web a través del TLS y HTTPS protocolos. La clave privada se mantiene segura en el servidor y se utiliza para firmar digitalmente páginas web y otros documentos (como imágenes y archivos JavaScript).
Un certificado SSL también incluye información de identificación sobre un sitio web, incluido su nombre de dominio y, opcionalmente, información de identificación sobre el propietario del sitio. Si el certificado SSL del servidor web está firmado por una autoridad de certificación (CA) de confianza pública, como SSL.com, los navegadores web y los sistemas operativos de los usuarios finales considerarán auténtico el contenido firmado digitalmente del servidor.
Un certificado SSL es un tipo de Certificado X.509.
TLS (Transport Layer Security), lanzado en 1999, es el sucesor del SSL (Secure Sockets Layer) Protocolo de autenticación y encriptación. TLS 1.3 se define en en RFC 8446 (Agosto 2018).
En un momento, era un requisito obligatorio tener una IP dedicada para cada certificado SSL en un servidor web. Este ya no es el caso debido a una tecnología llamada Indicación de nombre de servidor (SNI). Su plataforma de alojamiento tendrá que admitir específicamente SNI. Puede encontrar más información sobre SNI en este Artículo de SSL.com.
Para máxima compatibilidad, puerto 443 es el puerto estándar, por lo tanto recomendado, utilizado para SSL /TLS comunicaciones Sin embargo, se puede usar cualquier puerto.
TLS 1.3, definido en agosto de 2018 por RFC 8446, es la versión más reciente de SSL /TLS. TLS 1.2 (RFC 5246) se definió en agosto de 2008 y también sigue siendo de uso generalizado. Versiones de SSL /TLS antes de TLS 1.2 se consideran inseguros y ya no deben usarse.
TLS Las versiones 1.0 y 1.1 se ven afectadas por una gran cantidad de vulnerabilidades de protocolo e implementación que han sido publicadas por investigadores de seguridad en las últimas dos décadas. Ataques como ROBOT afectado el algoritmo de intercambio de claves RSA, mientras Atolladero y Débil DH mostró que muchos TLS los servidores podrían ser engañados para que usen parámetros incorrectos para otros métodos de intercambio de claves. Comprometer un intercambio de claves permite a los atacantes comprometer completamente la seguridad de la red y descifrar conversaciones.
Ataques a cifrados simétricos, como BESTIA or Lucky13, han demostrado que varios cifrados soportados en TLS 1.2 y anteriores, con ejemplos que incluyen RC4 or Modo CBC cifrados, no son seguros.
Incluso las firmas se vieron afectadas, con Falsificación de firma RSA de Bleichenbacher ataque y otros ataques de relleno similares.
La mayoría de estos ataques han sido mitigados en TLS 1.2 (siempre que TLS las instancias están configuradas correctamente), aunque TLS 1.2 sigue siendo vulnerable a ataques de degradación, Tales como CANICHE, FREAKo Intercambio de curvas. Esto se debe al hecho de que todas las versiones de TLS el protocolo anterior a 1.3 no protege la negociación del protocolo de enlace (que decide la versión del protocolo que se utilizará durante el intercambio).
Llaves, certificados y apretones de manos
SSL /TLS funciona mediante la vinculación de las identidades de entidades como sitios web y empresas a la criptografía pares de llaves a través de documentos digitales conocidos como Certificados X.509. Cada par de claves consta de un llave privada y Llave pública. La clave privada se mantiene segura y la clave pública se puede distribuir ampliamente a través de un certificado.
La relación matemática especial entre las claves privadas y públicas en un par significa que es posible usar la clave pública para cifrar un mensaje que solo puede descifrarse con la clave privada. Además, el titular de la clave privada puede usarla para firmar otros documentos digitales (como páginas web), y cualquier persona con la clave pública puede verificar esta firma.
Si el SSL /TLS el certificado mismo está firmado por un Autoridad de certificación (CA) de confianza pública, Tales como SSL.com, el software del cliente, como los navegadores web y los sistemas operativos, confiará implícitamente en el certificado. Las CA de confianza pública han sido aprobadas por los principales proveedores de software para validar identidades en las que se confiará en sus plataformas. Los procedimientos de validación y emisión de certificados de una CA pública están sujetos a auditorías periódicas y rigurosas para mantener este estado de confianza.
A través del SSL /TLS apretón de manos, las claves privadas y públicas se pueden utilizar con un certificado de confianza pública para negociar una sesión de comunicación encriptada y autenticada a través de Internet, incluso entre dos partes que nunca se han reunido. Este simple hecho es la base de la navegación web segura y el comercio electrónico como se conoce hoy en día.
SSL /TLS y navegación web segura
El uso más común y conocido de SSL /TLS es una navegación web segura a través de HTTPS protocolo. Un sitio web HTTPS público configurado correctamente incluye un SSL /TLS certificado firmado por una CA de confianza pública. Los usuarios que visitan un sitio web HTTPS pueden estar seguros de:
- Autenticidad. El servidor que presenta el certificado posee la clave privada que coincide con la clave pública del certificado.
- Integridad. Documentos firmado por el certificado (por ejemplo, las páginas web) no han sido alteradas en tránsito por un hombre en el medio.
- Cifrado Las comunicaciones entre el cliente y el servidor están encriptadas.
Debido a estas propiedades, SSL /TLS y HTTPS permiten a los usuarios transmitir de manera segura información confidencial, como números de tarjetas de crédito, números de seguridad social y credenciales de inicio de sesión a través de Internet, y asegurarse de que el sitio web al que los envían sea auténtico. Con un sitio web HTTP inseguro, estos datos se envían como texto sin formato, fácilmente disponible para cualquier espía con acceso a la secuencia de datos. Además, los usuarios de estos sitios web desprotegidos no tienen la garantía de un tercero confiable de que el sitio web que están visitando es lo que dice ser.
Busque los siguientes indicadores en la barra de direcciones de su navegador para asegurarse de que un sitio web que está visitando esté protegido con un SSL /TLS certificado (captura de pantalla de Firefox 70.0 en macOS):
- Un icono de candado cerrado a la izquierda de la URL. Dependiendo de su navegador y del tipo de certificado que haya instalado el sitio web, el candado puede ser verde y / o acompañado de información de identificación sobre la compañía que lo ejecuta.
- Si se muestra, el protocolo al comienzo de la URL debe ser
https://no,http://. Tenga en cuenta que no todos los navegadores muestran el protocolo.
Los navegadores de escritorio modernos también alertan a los visitantes sobre sitios web inseguros que no tienen SSL /TLS certificado. La siguiente captura de pantalla es de un sitio web inseguro visto en Firefox, y muestra un candado tachado a la izquierda de la URL:
Obtener un SSL /TLS Certificado
¿Listo para proteger su propio sitio web? El procedimiento básico para solicitar un SSL /TLS El certificado del sitio web es el siguiente:
- La persona u organización que solicita el certificado genera un par de claves públicas y privadas, preferiblemente en el servidor a proteger.
- La clave pública, junto con los nombres de dominio que se protegerán y (para los certificados OV y EV) información organizativa sobre la empresa que solicita el certificado, se utiliza para generar un Solicitud de firma de certificado (CSR).
- Por favor mira estas preguntas frecuentes para obtener instrucciones sobre cómo generar un par de claves y CSR en muchas plataformas de servidor.
- El CSR se envía a una CA de confianza pública (como SSL.com). La CA valida la información en el CSR y genera un certificado firmado que se puede instalar en el servidor web del solicitante.
- Para obtener instrucciones sobre cómo solicitar SSL /TLS certificados de SSL.com, consulte este tutorial.
SSL /TLS los certificados varían según los métodos de validación utilizados y el nivel de confianza que confieren, con validación extendida (EV) ofreciendo el más alto nivel de confianza. Para obtener información sobre las diferencias entre los principales métodos de validación (DV, OV y EV), consulte nuestro artículo, Certificados DV, OV y EV.
