Seguridad de la capa de transporte para niños

La Seguridad de la capa de transporte (conocida como TLS, por sus siglas en inglés) y su versión anterior, Secure Sockets Layer (SSL), son como guardias de seguridad para la información en internet. Estos protocolos usan códigos especiales para que tus comunicaciones sean seguras. Así, cuando envías un mensaje o visitas una página web, nadie más puede ver lo que haces.

TLS es la versión más nueva y mejorada de SSL. SSL se creó en 1995, y TLS apareció en 1999. La versión más reciente de TLS es la 1.3, lanzada en 2018. Las versiones antiguas de SSL ya no son seguras y no se usan.

Estos protocolos usan algo llamado "certificados digitales" y "criptografía" para asegurarse de que te estás comunicando con la persona o el sitio web correcto. También usan claves secretas para codificar los datos. Esto ayuda a mantener tu información privada y a asegurar que no sea alterada. TLS se usa en muchas aplicaciones, como la navegación web, el correo electrónico, la mensajería y las llamadas por internet.

¿Cómo funciona TLS?

TLS funciona en varias etapas para proteger tu información. Imagina que es un apretón de manos secreto entre tu dispositivo y el servidor.

Negociación de la conexión

Primero, tu dispositivo (el cliente) y el servidor se ponen de acuerdo sobre cómo se van a comunicar. Es como si dijeran: "Hola, ¿qué tipo de códigos de seguridad podemos usar?".

• Tu dispositivo envía un mensaje llamado ClientHello. En este mensaje, le dice al servidor qué versión de TLS prefiere y qué métodos de seguridad conoce. También envía un número aleatorio.
• El servidor responde con un ServerHello. Elige los mejores métodos de seguridad que ambos pueden usar. También envía su propio número aleatorio.
• Luego, el servidor envía un certificado digital. Este certificado es como una identificación oficial que prueba que el servidor es quien dice ser.

Intercambio de claves secretas

Después de la negociación, el cliente y el servidor intercambian claves públicas. Con estas claves, pueden crear una "clave secreta maestra" que solo ellos conocen.

• Tu dispositivo envía un mensaje ClientKeyExchange con una parte de la clave secreta, que está codificada con la clave pública del servidor.
• Tanto tu dispositivo como el servidor usan los números aleatorios y esta parte de la clave para calcular la "clave secreta maestra". Esta clave es muy importante porque se usará para codificar toda la información que se envíe.

Cifrado de la información

Una vez que tienen la clave secreta maestra, toda la comunicación se codifica. Esto significa que si alguien intercepta los datos, solo verá un montón de caracteres sin sentido.

• Tu dispositivo envía un mensaje ChangeCipherSpec, que significa "a partir de ahora, todo lo que envíe estará codificado".
• Luego, tu dispositivo envía un mensaje Finished (terminado), que es una prueba de que el apretón de manos secreto fue exitoso.
• El servidor hace lo mismo: envía su ChangeCipherSpec y su mensaje Finished.
• Si todo sale bien, la conexión es segura y pueden empezar a intercambiar información real, como páginas web o correos electrónicos, todo codificado.

Medidas de seguridad adicionales

TLS tiene varias formas de protegerte:

• Cada mensaje tiene un número de secuencia para evitar que se pierdan o se cambien.
• Usa códigos especiales para verificar que los mensajes no han sido alterados.
• Protege contra ataques que intentan forzar la conexión a usar versiones más antiguas y menos seguras del protocolo.

Historia y evolución

TLS ha evolucionado mucho para ser más seguro.

El protocolo SSL fue creado por Netscape Communications. La versión 1.0 nunca se lanzó al público. SSL 2.0 se lanzó en 1995, pero tenía algunos problemas de seguridad. Por eso, en 1996, se lanzó SSL 3.0, que fue un gran cambio.

TLS 1.0 se definió en 1999 como una mejora de SSL 3.0. Las diferencias no eran enormes, pero eran suficientes para que no fueran compatibles directamente.

Las versiones posteriores de TLS han añadido más seguridad y mejoras:

• TLS 1.1 (2006): Mejoró la protección contra ciertos ataques.
• TLS 1.2 (2008): Introdujo algoritmos de seguridad más fuertes.
• TLS 1.3 (2018): Es la versión más reciente y segura, con un proceso de conexión más rápido y menos opciones de seguridad antiguas que podrían ser débiles.

¿Dónde se usa TLS?

TLS es fundamental para la seguridad en internet y se utiliza en muchos lugares.

Sitios web

Uno de los usos más comunes de TLS es con el protocolo HTTP, creando lo que conocemos como HTTPS. Cuando ves "https://" en la dirección de un sitio web, significa que la conexión es segura gracias a TLS. Esto es muy importante para las compras en línea, la banca y cualquier sitio donde compartas información personal.

Navegadores web

Todos los navegadores web modernos, como Chrome, Firefox, Edge y Safari, son compatibles con TLS. Esto asegura que cuando navegas por internet, tus datos estén protegidos.

Otras aplicaciones

TLS también se usa para proteger:

• El envío de correos electrónicos (SMTP).
• La mensajería instantánea.
• Las llamadas de voz por internet (VoIP).
• Las redes privadas virtuales (VPN), que crean una conexión segura a través de una red pública.

Desafíos de seguridad

Aunque TLS es muy seguro, los expertos en seguridad siempre están buscando formas de mejorarlo y protegerlo de nuevos ataques.

Vulnerabilidades de versiones antiguas

Las versiones más antiguas de SSL (como SSL 2.0 y 3.0) tienen problemas de seguridad conocidos. Por eso, es muy importante usar siempre las versiones más recientes de TLS.

• SSL 2.0: Tenía varias debilidades, como el uso de claves criptográficas idénticas para diferentes funciones y una protección débil en el inicio de la conexión.
• SSL 3.0: Mejoró a SSL 2.0, pero aún tenía debilidades, especialmente en cómo generaba las claves secretas.

Ataques conocidos

A lo largo de los años, se han descubierto varios ataques que intentan romper la seguridad de SSL/TLS. Aquí te mencionamos algunos de los más importantes:

• Ataque de renegociación: Permite a un atacante insertar sus propias peticiones al inicio de una conversación segura.
• Ataques de reversión de versiones: Intentan forzar a la conexión a usar una versión más antigua y menos segura del protocolo.
• Ataque BEAST: Afectaba a TLS 1.0 y podía permitir a un atacante obtener información codificada. Los navegadores modernos ya tienen protecciones contra esto.
• Ataques CRIME y BREACH: Usan la compresión de datos para adivinar información secreta, como las "cookies" de autenticación.
• Ataque POODLE: Descubierto en 2014, afectaba a SSL 3.0 y permitía a los atacantes revelar partes de mensajes codificados.
• Fallo Heartbleed: Una grave vulnerabilidad en una librería de software popular (OpenSSL) que permitía a los atacantes robar información protegida por TLS, incluyendo claves secretas y contraseñas.

Los desarrolladores de software trabajan constantemente para corregir estas vulnerabilidades y hacer que TLS sea aún más robusto.

Secreto hacia adelante (Forward Secrecy)

Una característica importante de TLS es el "secreto hacia adelante". Esto significa que si la clave secreta principal de un servidor se ve comprometida en el futuro, las sesiones anteriores que usaron esa clave no podrán ser descifradas. Es como si cada conversación tuviera su propia clave desechable.

Para lograr esto, TLS usa métodos especiales de intercambio de claves. Servicios como Gmail y Twitter ya usan esta característica para proteger aún más la privacidad de sus usuarios.

Protección contra ataques de intermediario

Los ataques de intermediario (man-in-the-middle) ocurren cuando un atacante se interpone entre tu dispositivo y el servidor, interceptando la comunicación. TLS tiene formas de defenderse:

• Fijación de certificados: Tu navegador puede recordar el certificado de un sitio web. Si el certificado cambia inesperadamente, el navegador te alertará, ya que podría ser un ataque.
• Proyecto Perspectivas: Este proyecto usa "notarios de red" que observan los certificados de los sitios desde diferentes lugares. Si un certificado parece diferente desde una de estas perspectivas, puede indicar un ataque.

Estándares de TLS

El desarrollo de TLS está guiado por documentos llamados RFC (Request for Comments) publicados por el IETF (Internet Engineering Task Force). Estos documentos describen cómo deben funcionar los protocolos.

Algunos RFC importantes son:

• RFC 2246: Define TLS 1.0.
• RFC 4346: Define TLS 1.1.
• RFC 5246: Define TLS 1.2.
• RFC 8446: Define TLS 1.3, la versión más reciente.

Estos estándares aseguran que todos los programas y dispositivos que usan TLS puedan comunicarse de forma segura entre sí.

|

Véase también

En inglés: Transport Layer Security Facts for Kids