¿Qué es SSL? Te contamos qué son estos sistemas de información y para qué sirven. Un poco de la historia de cada uno, por quién fueron creados y con qué intención.

¿Qué es SSL? ¿Para qué sirve?

SSL = Capa de conexión segura. Es un sistema que permite el intercambio de información entre dos Pcs, de manera segura. Proporciona 3 cosas:

  • Privacidad: Incapaz de espiar la información intercambiada.
  • Integridad: Incapaz de falsificar la información intercambiada.
  • Autenticación Garantiza la identidad del programa, la persona o empresa con la que nos comunicamos.

Es un complemento de TCP / IP y puede (potencialmente) proteger cualquier protocolo o programa utilizando TCP / IP.

Fue creado y desarrollado por Enterprise and Security. Ahora hay versiones de código abierto, así como un protocolo libre similar: TLS (ver más abajo).

¿Por qué usar OpenSSL?

  • Está estandarizado.
  • Hay una versión gratuita: OpenSSL que puede usar en sus programas sin pagar derechos de autor.
  • OpenSSL es de código abierto: Todos pueden controlar y verificar el código fuente (el secreto reside en las claves de cifrado, no en el algoritmo en sí).
  • Ha sido criptoanalizado: Este sistema fue analizado más de cerca que todos sus competidores. SSL ha sido revisado por numerosos expertos en cifrado. Por lo tanto, puede considerarse seguro.
  • El es muy conocido: Es fácil crear programas que interactúen con otros programas usando SSL.
  • Muy cuidadoso con los sistemas patentados. Al contrario de lo que uno podría pensar, la seguridad de un sistema de encriptación no se basa en el secreto del algoritmo de cifrado, pero en el secreto de la clave. Solo debemos confiar en los sistemas que han sido publicados y revisados.

 

¿Cómo funciona SSL?

Se compone de dos protocolos:

  • Protocolo de enlace SSL: antes de comunicarse, ambos programas negocian claves y protocolos de cifrado en común.
  • De registro SSL: Una vez negociados, cifran toda la información intercambiada y realizan varias pruebas.

 

Protocolo de enlace SSL

Al comienzo de la comunicación, el cliente y el servidor intercambian:

  • La versión SSL con la que quieren trabajar,
  • La lista de métodos de cifrado (simétrico y asimétrico) y de firma que todos conocen (con longitudes de clave).
  • Métodos de compresión que todos conocen.
  • Números aleatorios.
  • Certificados.

El cliente y el servidor intentan usar el mejor protocolo de cifrado y reducen la velocidad hasta que encuentran un protocolo común para ambos. Una vez hecho esto, pueden comenzar a intercambiar datos.

Comunicación SSL

Con SSL, el remitente de datos:

  • Cortar los datos en paquetes.
  • Comprime los datos.
  • Firma criptográficamente los datos.
  • Cifrar los datos.
  • Envía los datos.

El que recibe los datos:

  • Descifra los datos.
  • Verifica firma de datos.
  • Descomprime los datos.
  • Vuelve a ensamblar los paquetes de datos.

 

¿Cómo protege SSL las comunicaciones?

Usos SSL:

  • un sistema de cifrado asimétrico (como el RSA o el Diffie-Hellman).
  • Sistema de cifrado simétrico (DES, 3DES, IDEA, RC4 …) utilizando claves de sesión para cifrar datos.
  • un sistema de firma criptográfica (HMAC, usando MD5, SHA …) para asegurarse de que los mensajes no estén dañados.

Es durante el protocolo de enlace SSL que el cliente y el servidor eligen sistemas comunes (cifrado asimétrico, simétrico, firma y longitud de la clave).

En su navegador, puede ver la lista de sistemas utilizados al pasar el mouse sobre el candado cuando se encuentra en una página HTTPS.

¿Para qué sirven los certificados?

Durante un protocolo de enlace SSL, verifique la identidad de la persona con la que se está comunicando. ¿Cómo asegurarse de que el servidor con el que está hablando es quién dice que es?  Al conectarse a un servidor web seguro, enviará un certificado con el nombre de su empresa, dirección, etc. Es una especie de tarjeta de identificación.

¿Cómo verificar la autenticidad de esta tarjeta de identificación? Los PKI (), de empresas externas (en las que confía implícitamente), que verificarán la autenticidad del certificado.  Estos PKI firman criptográficamente certificados de empresa (y se les paga por ello).

SSL se puede utilizar para proteger prácticamente cualquier protocolo que utilice TCP / IP.

Algunos protocolos se han modificado especialmente para admitir SSL.

  • HTTPS: es HTTP + SSL. Este protocolo se incluye con prácticamente todos los navegadores y le permite (por ejemplo) consultar sus cuentas bancarias web de forma segura.
  • FTPS es una extensión de FTP (Protocolo de transferencia de archivos) que utiliza SSL.
  • SSH (Secure Shell) es un tipo de telnet seguro (o rlogin). Esto le permite conectarse de forma segura a una Pc remota y tener una línea de comando. SSH tiene extensiones para proteger otros protocolos (FTP, POP3 o incluso X Windows).

Los protocolos se pueden asegurar creando túneles SSL. Después de crear el túnel, puede pasar cualquier protocolo a través de él (SMTP, POP3, HTTP, NNTP, etc.). Todos los datos intercambiados se cifran automáticamente.

Esto se puede hacer con herramientas como Stunnel o el SSH .

Con el protocolo POP3 que usualmente usas para leer tus correos electrónicos, contraseñas y mensajes de tránsito claramente en Internet. Sus contraseñas y mensajes pueden ser robados. Con el túnel SSL, y sin cambiar el software del cliente y el servidor , puede garantizar la recuperación de su correo electrónico: nadie puede robar sus contraseñas o correos electrónicos porque todo lo que pasa por el túnel SSL está encriptado.

Algunos ISP ofrecen este servicio, pero aún es muy raro. Pregúntele a su ISP si tiene este tipo de servicio instalado. STunnel protege así la mayoría de los protocolos basados ​​en TCP / IP sin cambiar el software. Es muy fácil de instalar.

 

¿Cuáles son las diferentes versiones de SSL?

El SSL versión 3.0 es muy similar a SSL versión 2.0 , pero SSL v2.0 tiene menos algoritmos de cifrado que SSL V3.0.

TLS v1.0 Es un protocolo similar basado en SSL. Las aplicaciones que usan TLS v1.0 pueden comunicarse fácilmente con las aplicaciones que usan SSL v3.0.

Entonces, cuando veo la cerradura, ¿estoy protegido? El bloqueo le indica si las comunicaciones entre su navegador y el sitio son seguras: nadie puede espiarlas y nadie puede meterse con las comunicaciones. Pero él no garantiza nada más.

Para tomar una foto:

HTTPS (la cerradura) es como un automóvil blindado: garantiza la seguridad del transporte.  El carro blindado no asegura que el banco use buenas cajas fuertes y que cierren bien. Este carro blindado tampoco asegura que el banco no malversa a nadie. El carro blindado realmente solo garantiza el envío.

Es lo mismo para HTTPS (el teclado del navegador). Así como los delincuentes pueden contratar un vehículo blindado, los piratas y bandidos pueden crear un sitio seguro (con el candado). Tenga cuidado y no confíe en ninguna información en ningún sitio, con o sin cerradura.