Cómo abordar el principio de Peter Parker en la inspección TLS

Jay KelleyGerente sénior de marketing de producto | F5

«Un gran poder conlleva una gran responsabilidad». Sin olvidar a Voltaire y Churchill, la cita es conocida sobre todo por los cómics de «Spider-Man», donde se atribuye al tío Ben de Peter Parker. Por supuesto, parte de su arraigo cultural se debe a que puede aplicarse a infinidad de situaciones y temas, incluida —como indica el título— la inspección TLS.

Recientemente, la Agencia de Seguridad Nacional (NSA) de Estados Unidos publicó un aviso para abordar los posibles riesgos asociados al despliegue de la inspección de la seguridad de la capa de transporte (TLSI). El aviso de la NSA también proporcionó métodos para mitigar cualquier posible vulnerabilidad de seguridad en las organizaciones que despliegan y utilizan productos de TLSI.

Breve introducción a la TLSI: la TLSI —también conocida como interceptación e inspección de TLS— es un proceso que permite a las organizaciones descifrar y volver a cifrar el tráfico de red protegido mediante TLS o incluso Secure Sockets Layer (SSL). La TLSI es imprescindible para las organizaciones, ya que actualmente la mayoría de los ataques se ocultan en el tráfico cifrado. Por ejemplo, según el último estudio, más del 90 % de las cargas de páginas están ahora cifradas mediante SSL/TLS, y el 71 % de los sitios web de phishing utilizan certificados de cifrado.

Actualmente, muchas organizaciones utilizan un dispositivo específico, como un proxy, un cortafuegos o un sistema de detección de intrusiones (IDS) o de prevención de intrusiones (IPS), para descifrar y volver a cifrar el tráfico cifrado con TLS. Otras siguen haciendo pasar el tráfico cifrado con TLS por una cadena de dispositivos de su infraestructura de seguridad, lo que obliga a descifrarlo y volver a cifrarlo en cada dispositivo de seguridad. El proceso completo de TLSI ayuda a las organizaciones a supervisar el tráfico cifrado entrante para detectar posibles amenazas, como malware. También les permite supervisar el tráfico cifrado saliente para detectar la exfiltración de datos y las comunicaciones activas de mando y control (C2) con servidores maliciosos preparados para descargar recursos de ataque adicionales.

Sin embargo, según el aviso de la NSA, el método de TLSI utilizado, así como la forma en que se implementa, también puede entrañar graves riesgos para una organización.

En su aviso, la NSA también recomienda que el tráfico TLS se intercepte e inspeccione una sola vez dentro de la red de una organización. El aviso indica claramente que no se debe descifrar, inspeccionar y volver a cifrar el tráfico TLS mediante un dispositivo proxy de reenvío para, a continuación, enviarlo a otro dispositivo proxy de reenvío que repita la misma operación. Esta práctica aumenta la superficie de riesgo sin aportar ningún beneficio adicional.

Si una organización implementa o utiliza una solución TLSI que no valida correctamente los certificados TLS, el cifrado TLS puede debilitarse, lo que abre la puerta a ataques de intermediario (MiTM).

Un dispositivo proxy de reenvío que funcione incorrectamente y se utilice para TLSI puede provocar que el tráfico descifrado se redirija a un dispositivo de terceros no autorizado, así como el robo o el uso indebido de datos confidenciales.

Según el aviso de la NSA, supervisar el flujo de tráfico de red hacia el proxy de reenvío puede ayudar a reducir cualquier posibilidad de explotación. Además, para garantizar que la TLSI funcione correctamente, el aviso recomienda aplicar análisis a los registros, lo que permite detectar el tráfico desviado y ayuda a identificar abusos o usos indebidos —intencionados o no— por parte de los administradores.

Además, es probable que los productos TLSI necesiten encadenar conexiones TLS, lo que podría reducir la protección del cifrado y permitir que se explote un conjunto de cifrado o una versión de TLS menos seguros. Algunas soluciones TLSI pueden permitir versiones de TLS y conjuntos de cifrado menos seguros únicamente de forma excepcional.

La mayoría de los dispositivos proxy de reenvío TLSI incluyen su propia autoridad de certificación (CA) interna para crear y firmar nuevos certificados. Sin embargo, la CA integrada podría utilizarse para firmar código malicioso y eludir mecanismos de seguridad como los IDS y los IPS, o para desplegar servicios maliciosos que suplanten a servicios legítimos. El aviso de la NSA recomienda que las organizaciones seleccionen productos que implementen correctamente el flujo de datos, TLS y la CA.

Otra superficie de ataque puede encontrarse en el punto en el que el dispositivo TLSI descifra el tráfico, justo antes de enviarlo a los dispositivos de seguridad. El tráfico está en texto plano y es vulnerable a ataques, lo que podría permitir a los atacantes obtener credenciales de usuario y otros datos confidenciales.

F5 SSL Orchestrator garantiza que el tráfico cifrado se descifre, se inspeccione mediante los controles de seguridad adecuados y se vuelva a cifrar, lo que proporciona visibilidad del tráfico cifrado y mitiga los riesgos derivados de amenazas ocultas. SSL Orchestrator también maximiza la eficacia de las inversiones en seguridad existentes mediante el encadenamiento dinámico de servicios de seguridad y el direccionamiento del tráfico descifrado según políticas, aplicando inteligencia contextual al tráfico cifrado. Además, SSL Orchestrator gestiona y distribuye de forma centralizada las tecnologías de cifrado más recientes en toda la infraestructura de seguridad de una organización, centralizando la gestión de certificados y claves y proporcionando, al mismo tiempo, una sólida gestión y control de los algoritmos de cifrado. SSL Orchestrator supervisa de forma independiente el estado de cada servicio de seguridad. También garantiza que las soluciones de seguridad funcionen con la máxima eficiencia y puedan escalar con alta disponibilidad gracias a las capacidades de equilibrio de carga y escalado de F5. Asimismo, cumple las normas gubernamentales y sectoriales más estrictas y rigurosas en materia de seguridad y privacidad.

El aviso de la NSA hace hincapié en realizar correctamente el descifrado y la inspección de TLS, y hacerlo una sola vez. Aunque pueda parecer que una solución integral, como un firewall de nueva generación (NGFW), abordaría técnicamente este concepto, en la práctica resulta poco viable cuando se intenta gestionar todo tipo de tráfico cifrado y satisfacer los requisitos de rendimiento. Lo que realmente se necesita —y el mejor enfoque para realizar correctamente y una sola vez el descifrado y la inspección de TLS— es un conjunto de productos de varios proveedores, estrechamente supervisados y conectados de forma segura, configurados como una solución que descifre, inspeccione y vuelva a cifrar una sola vez, lo que ofrecerá mayor flexibilidad, resiliencia y viabilidad.

Con F5 SSL Orchestrator, una organización no necesita encadenar dispositivos proxy de reenvío. Tampoco necesita supervisar el tráfico de forma independiente ni añadir sistemas de supervisión de dispositivos. Al tratarse de una arquitectura de proxy completo, se utiliza el conjunto de cifrado o el método de cifrado más seguro. En otras palabras, SSL Orchestrator mitiga todos los riesgos señalados en el aviso de la NSA, al tiempo que ayuda a las organizaciones a ajustarse al vínculo ampliamente reconocido entre responsabilidad y poder.

Sobre el autor

Jay KelleyGerente sénior de marketing de producto | F5

Más artículos de Jay Kelley