1. ¿Qué es SSL ?
SSL (o Secure Socket Layer) es un protocolo de seguridad de Internet basado en encriptación . Fue desarrollado originalmente por Netscape en 1995 para garantizar la privacidad, la autenticación y la integridad de los datos en las comunicaciones por Internet . SSL es el predecesor del cifrado TLS moderno que se utiliza en la actualidad . Utilice la URL del sitio web SSL / TLS con "HTTPS" , en lugar de "HTTP" .
2 , SSL / TLS ¿cómo funciona?
1 ) Para proporcionar un alto grado de privacidad, SSL cifrará los datos transmitidos a través de la red. Esto significa que cualquiera que intente interceptar estos datos solo verá caracteres confusos y es casi imposible descifrarlos.
2 ) SSL inicia un proceso de autenticación llamado protocolo de enlace entre dos dispositivos que se comunican para garantizar que los dos dispositivos sean de hecho las verdaderas identidades que afirman.
3 ) SSL también firma digitalmente los datos para proporcionar integridad de los datos y verifica si los datos han sido manipulados antes de llegar al destinatario de destino.
SSL ha pasado por muchas iteraciones y cada iteración es más segura que la anterior. SSL se actualizó a TLS en 1999 .
3. ¿Por qué es tan importante SSL / TLS ?
Inicialmente, los datos en la Web se transmitían en texto sin formato y cualquiera que interceptara el mensaje podía leerlo. Por ejemplo, si un consumidor visita un sitio web de compras, realiza un pedido e ingresa su número de tarjeta de crédito en el sitio web, el número de la tarjeta de crédito se distribuirá en texto sin cifrar en Internet.
SSL se creó para corregir este problema y proteger la privacidad del usuario. Al encriptar cualquier dato transmitido entre el usuario y el servidor web , SSL asegura que cualquiera que intercepte los datos solo pueda ver los caracteres desordenados. El número de tarjeta de crédito del consumidor ahora es seguro y visible solo en el sitio web de compras donde ingresaron la contraseña.
SSL también puede bloquear ciertos tipos de VPN de Internet: autentica el servidor web , lo cual es importante porque los piratas informáticos generalmente intentan establecer sitios web falsos para engañar a los usuarios y robar datos. También puede evitar que los piratas informáticos manipulen los datos en transmisión.
4 , ¿ SSL y TLS son lo mismo?
SSL es el predecesor inmediato del protocolo TLS (Transport Layer Security). En 1999 , el IETF propuso una actualización de SSL . Dado que esta actualización fue desarrollada por el IETF y ya no involucra a Netscape , el nombre también se cambia a TLS . No hay mucha diferencia entre la versión final de SSL ( 3.0 ) y la primera versión de TLS . Los cambios de nombre se deben más a cambios de propiedad.
Debido a que están tan estrechamente relacionados, los dos términos a menudo se usan indistintamente y se confunden. Algunas personas todavía usan SSL para referirse a TLS , mientras que otras usan el término " cifrado SSL / TLS " porque el nombre de SSL todavía es muy reconocible.
5 , ¿ SSL todavía lo actualiza?
Desde el uso de SSL 3.0 en 1996 , no se han realizado actualizaciones a SSL y ahora se considera obsoleto. Hay varias vulnerabilidades conocidas en el protocolo SSL y los expertos en seguridad recomiendan que deje de usarlo. De hecho, la mayoría de los navegadores web modernos ya no admiten SSL en absoluto .
TLS es el último protocolo de cifrado y todavía se utiliza, aunque mucha gente todavía lo llama " cifrado SSL " . Para las personas que compran soluciones de seguridad, estos conceptos pueden confundirse. El hecho es que casi cualquier proveedor que proporcione "SSL" en la actualidad puede proporcionar protección TLS con casi certeza , lo que se ha convertido en un estándar de la industria durante más de 20 años. Sin embargo, dado que muchas personas todavía buscan " protección SSL " , el término sigue siendo prominente en muchas páginas de productos.
6. ¿Qué es un certificado SSL ?
Solo los sitios web que tienen un certificado SSL (técnicamente debería ser un " certificado TLS " ) pueden implementar SSL . Un certificado SSL es como una tarjeta de identificación o una insignia, que se usa para demostrar que alguien es lo que dice es su verdadera identidad. El certificado SSL lo almacena el servidor del sitio web o la aplicación y se muestra en la Web .
Una de las informaciones más importantes de un certificado SSL es la clave pública del sitio web, que hace posible el cifrado. El dispositivo del usuario ve la clave pública y la usa para establecer una clave de cifrado segura con el servidor web . Al mismo tiempo, el servidor web también tiene una clave privada secreta, que se utiliza para descifrar los datos cifrados con la clave pública. La autoridad de certificación ( CA ) es responsable de emitir certificados SSL .
7 , SSL ¿qué tipo de certificado es?
Existen varios tipos diferentes de certificados SSL . Se puede aplicar un certificado a uno o más sitios web, según el tipo:
1 ) Dominio único: el certificado SSL de dominio único solo se aplica a un dominio ( " dominio " es el nombre del sitio web, como www.cloudflare.com ).
2 ) Comodín: al igual que un certificado de dominio único, un certificado SSL comodín solo se aplica a un dominio. Sin embargo, también incluye subdominios del dominio. Por ejemplo, certificados comodín pueden cubrir www.cloudflare.com , blog.cloudflare.com y developers.cloudflare.com , mientras que los certificados de dominio único sólo pueden cubrir la primera.
3 ) Multidominio: como su nombre lo indica, se puede aplicar un certificado SSL de varios dominios a varios dominios no relacionados.
Los certificados SSL también tienen diferentes niveles de verificación. El nivel de verificación es como una verificación de antecedentes, y el nivel variará según la minuciosidad de la verificación.
1 ) Verificación de dominio: este es el nivel de verificación más estricto y el nivel más barato. Todo lo que debe hacer la empresa es demostrar que controla el dominio.
2 ) Verificación organizacional: Este es un proceso más práctico: CA contacta directamente a la persona o empresa que solicita el certificado. Los usuarios confían más en estos certificados.
3 ) Verificación extendida: esto requiere una inspección de antecedentes completa de la organización antes de emitir un certificado SSL .
8 , introducción a los conjuntos de cifrado SSL / TLS
La seguridad de cualquier conexión protegida por SSL / TLS depende en gran medida de la elección del conjunto de cifrado por parte del cliente y el servidor. Pero, ¿qué es una suite de cifrado? Si utiliza protocolos de transferencia de archivos como HTTPS , FTPS y AS2 , pero no sabe qué es un conjunto de cifrado, debe leer este artículo.
La definición de un conjunto de cifrado es simplemente el conjunto completo de métodos (técnicamente llamados algoritmos) necesarios para proteger las conexiones de red a través de SSL / TLS . El nombre de cada conjunto representa el algoritmo específico que lo compone. El algoritmo que constituye un conjunto de cifrado típico es el siguiente:
1 ) Algoritmo de intercambio de claves: especifica el método de intercambio de claves simétricas;
2 ) Algoritmo de autenticación: indique cómo realizar la autenticación del servidor y (si es necesario) la autenticación del cliente;
3 ) Algoritmo de cifrado por lotes: indique qué algoritmo de clave simétrica se utilizará para cifrar los datos reales;
4 ) Algoritmo del código de autenticación de mensajes ( MAC ): indica el método que utilizará la conexión para realizar comprobaciones de integridad de los datos;
Un conjunto de cifrado generalmente consta de un algoritmo de intercambio de claves, un algoritmo de autenticación, un algoritmo de cifrado por lotes y un algoritmo MAC . Los algoritmos de intercambio de claves incluyen RSA, DH, ECDH, ECDHE, etc.; Los algoritmos de autenticación incluyen RSA, DSA, ECDSA; los algoritmos de cifrado masivo incluyen AES, 3DES, CAMELLIA; los algoritmos MAC incluyen SHA, MD5, etc. Veamos un ejemplo de un conjunto de cifrado:
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
Desmontemos uno por uno para ver:
1 ) TLS significa el protocolo utilizado;
2 ) ECDHE significa algoritmo de intercambio de claves;
3 ) ECDSA significa algoritmo de autenticación;
4 ) AES_256_CBC representa el algoritmo de cifrado masivo;
5 ) SHA384 significa algoritmo MAC .
AES_256_CBC significa que este conjunto de cifrado utiliza exclusivamente AES de 256 bits que se ejecuta en modo CBC (Cipher Block Chaining) . De manera similar, SHA384 indica que el conjunto de cifrado está utilizando una versión específica del algoritmo de hash seguro ( SHA ). En ocasiones, se omite el protocolo utilizado, como se muestra en el siguiente ejemplo:
DHE_RSA_AES256_SHA
1 ) DHE : indica el algoritmo de intercambio de claves;
2 ) RSA : representa el algoritmo de autenticación;
3 ) AES256 : indica el algoritmo de cifrado por lotes;
4 ) SHA : Representa el algoritmo MAC .
A veces, el algoritmo repetido se escribe solo una vez. Por ejemplo, en el conjunto de cifrado RSA_AES256_SHA , se da a entender que el algoritmo de autorización es RSA .