La privacidad en línea ya no consiste simplemente en mantenerse alejado de miradas indiscretas. El cifrado en la web desempeña un papel fundamental a la hora de proteger nuestra privacidad y está en constante evolución.
Antes reservados para las páginas de inicio de sesión y de pago, los protocolos criptográficos como Transport Layer Security (TLS) han cobrado protagonismo en los últimos tiempos, ya que permiten autenticar los extremos y establecer comunicaciones confidenciales. En los últimos dos años, también se han actualizado los estándares TLS. Los navegadores pronto bloquearán las implementaciones antiguas y poco seguras del protocolo, como TLS 1.0 y 1.1. Asimismo, se están introduciendo nuevos protocolos para reforzar la seguridad de otros protocolos no seguros que todavía se utilizan ampliamente en la actualidad.
Es fácil entender por qué a las empresas puede resultarles difícil mantenerse al día. Por ejemplo, a principios del año pasado, unos investigadores de seguridad descubrieron la primera muestra de malware que utilizaba el incipiente protocolo de cifrado del sistema de nombres de dominio, DNS-over-HTTPS (DoH).
El panorama de TLS ya no es lo que era, y las organizaciones deben mantenerse al día de los últimos avances para garantizar que los sitios web se implementen de forma segura y conserven esa seguridad durante toda su vida útil.
Mantenerse al día con los cambios
En general, las empresas comprenden las ventajas que pueden aportar las nuevas actualizaciones de TLS y parecen estar abiertas al cambio. Por ejemplo, el último informe de telemetría de TLS de F5 Labs reveló que casi un tercio del millón de sitios más populares de Alexa aceptaba conexiones TLS 1.3. En muchos sentidos, tiene lógica desde el punto de vista empresarial. Los navegadores web más populares ya son compatibles con el nuevo estándar, que ofrece diversas ventajas de seguridad y rendimiento.
Sin embargo, adoptar la última versión de TLS todavía no es una opción para todo el mundo.
Si este es el caso, las empresas deberían plantearse deshabilitar por completo los intercambios de claves RSA eliminando los conjuntos de cifrado que los ofrecen. Un estudio de F5 reveló que más de un tercio de los sitios web más populares del mundo siguen ofreciendo RSA como algoritmo criptográfico preferido, aunque los investigadores de seguridad continúan encontrando formas de atacarlo. Entre ellas se encuentra la vulnerabilidad ROBOT, descubierta hace 19 años, que permite realizar operaciones de descifrado y firma RSA con la clave privada de un servidor TLS. Según un estudio de F5 Labs, es probable que algo más del 2 % de los sitios web más importantes del mundo sigan siendo vulnerables a este exploit.
Al igual que ocurre con otros programas, los investigadores de seguridad suelen descubrir vulnerabilidades en las bibliotecas TLS. Por ello, las organizaciones deben asegurarse de recibir avisos cuando haya actualizaciones disponibles para la pila TLS de su servidor web, balanceador de carga o controlador de entrega de aplicaciones. También es fundamental contar con políticas que permitan aplicar los parches con rapidez.
También es importante señalar que cualquier autoridad de certificación (CA) puede crear un certificado para cualquier dominio de Internet. Por este motivo, conviene restringir la autorización a solo dos o tres CA conocidas y de confianza. Esto puede lograrse mediante la creación de registros DNS de autorización de autoridades de certificación (CAA). Además, aplicar la cabecera de seguridad de transporte estricta HTTP (HSTS) a las aplicaciones web proporcionará una capa adicional de seguridad, ya que los navegadores solo intentarán cargar los sitios de forma segura mediante HTTPS. Se trata de una medida fundamental que puede ayudar a evitar ataques de red que fuerzan la carga de páginas no seguras, lo que permite a los atacantes espiar, modificar y redirigir el tráfico de red.
Aunque los registros CAA de DNS se crearon para evitar la emisión indebida de certificados para dominios válidos, los estafadores rara vez intentan crear un certificado para un dominio existente, como mybank.com. En su lugar, crean certificados para dominios de su propiedad utilizando el nombre de marca «mybank» como subdominio, como mybank.attacker.com.
Afortunadamente, cada vez que una CA crea un certificado, este queda registrado en una base de datos distribuida globalmente (los registros de transparencia de certificados). La supervisión de los registros de CT es una forma útil de recibir alertas cuando los actores maliciosos suplantan un dominio o una marca.
Ahora que HTTPS está presente en todas partes, también hay que gestionar más algoritmos de cifrado, claves y certificados. Esto, sumado a la creciente adopción de metodologías DevOps, hace que la velocidad de los cambios y los despliegues aumente constantemente.
Del mismo modo que las herramientas y las pruebas de seguridad se están integrando en la cadena de herramientas de automatización, también debe integrarse la configuración de HTTPS. Esto implica abordar la creación orquestada de certificados digitales y desarrollar políticas internas que definan los estándares, como la longitud mínima de las claves y los conjuntos de cifrado. Este tipo de automatización también ayudará a gestionar los certificados próximos a caducar, renovándolos automáticamente antes de que pueda producirse una interrupción del servicio.
Cómo abordar la brecha de seguridad de TLS
Lamentablemente, siguen existiendo muchas deficiencias en materia de privacidad y seguridad, incluso cuando TLS se implementa correctamente. Están surgiendo protocolos como DNS sobre HTTPS (DoH) para ayudar a subsanar estas deficiencias y, aunque mejoran la privacidad de los usuarios de la web, también pueden dificultar que los equipos de seguridad de las empresas identifiquen y bloqueen el tráfico malicioso. En algunos casos, esto exige deshabilitar DoH en las redes empresariales o implementar servicios DoH internos para los usuarios. Estos servicios funcionarán con el proxy web y ayudarán a filtrar el tráfico no deseado.
En última instancia, ni siquiera la mejor implementación de TLS del mundo puede evitar que se inyecte código malicioso mediante malware del lado del cliente o que la seguridad se vea comprometida debido a scripts de terceros. Por eso, siempre recomendamos comprender las limitaciones de HTTPS y las carencias existentes.
Una cosa es segura: el cifrado está en constante evolución. Las longitudes de las claves aumentan, los certificados se automatizan, los gobiernos imponen restricciones y surgen nuevos protocolos. Este cambio constante plantea un nuevo nivel de riesgo para muchas organizaciones y sus clientes. Una implementación deficiente de TLS no pasará desapercibida para los hackers, los organismos reguladores y las compañías de seguros de ciberseguridad, y puede suscitar serias dudas sobre el resto de la infraestructura de una organización.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.