El papel de los certificados

Sean Wright

Este artículo de invitado forma parte de una serie y se ha creado en colaboración con F5.

CSR, PEM, DER, X509… No es de extrañar que los certificados se consideren a menudo una especie de magia.

La primera vez que tuve que hacer funcionar un certificado, ¡no tenía ni idea de lo que estaba haciendo! Copié sin rumbo un montón de comandos y esperé que funcionaran. Pero, cuando se trata de seguridad, esperar que alguien copie comandos a ciegas es arriesgado. Y más aún cuando se trata de certificados.

Los certificados son la piedra angular de las conexiones TLS (y, más habitualmente, HTTPS, que utiliza TLS). Si se configuran incorrectamente, se corre el riesgo de que un atacante intercepte la conexión, anulando en la práctica la protección que esta proporciona.

Este artículo forma parte de una serie en la que analizaremos el papel de los certificados y, en especial, su gestión. En esta primera parte, exploraremos la finalidad de los certificados y por qué desempeñan un papel importante a la hora de proteger las conexiones (concretamente, las conexiones TLS).

Garantizar la confidencialidad y establecer la integridad

Cuando un cliente se conecta a un servidor, debemos tener en cuenta dos principios de seguridad.

El primero es la confidencialidad. Es fundamental para que los datos transmitidos desde y hacia el cliente no sean visibles para nadie ajeno a esa comunicación. Una página de inicio de sesión es un buen ejemplo. Queremos asegurarnos de que el nombre de usuario y la contraseña que introduces no sean visibles para nadie cuando se transmiten al servidor en el que intentas iniciar sesión. También cabe señalar que la confidencialidad contribuye a proteger la privacidad, ya que impide que miradas indiscretas sepan qué acciones realizas o qué información consultas.

El segundo principio es la integridad. Es un aspecto que muchas personas olvidan o desconocen cuando se trata de TLS. Por integridad, entendemos que nadie puede manipular los datos que se transmiten desde y hacia el cliente. Aunque el recurso sea público, debemos garantizar la integridad de estos datos.

Pensemos en un sitio web de noticias de acceso público. No nos preocupa demasiado el aspecto de la confidencialidad (salvo por la privacidad, pero dejémosla de lado en este ejemplo), ya que esta página está disponible públicamente. Sin embargo, queremos asegurarnos de que los datos enviados desde el servidor al cliente (el navegador de un usuario) no hayan sido manipulados. Si no se tiene en cuenta la integridad de un servidor, un atacante podría modificar el contenido de una noticia (pensemos en las noticias falsas) o inyectar contenido malicioso en la página, como un hook de Browser Exploitation Framework.

La importancia de los certificados

Entonces, ¿qué papel desempeñan los certificados en todo esto? Cuando un cliente se conecta a un servidor, primero debe asegurarse de que se está conectando al servidor previsto, y no a uno que un atacante haya suplantado. También queremos garantizar que la conexión esté cifrada de extremo a extremo. Con esto queremos decir que la conexión no se haya interrumpido en algún punto para permitir la inspección y modificación del tráfico antes de reenviarlo al servidor original. Esto se conoce como un ataque de intermediario.

Conviene aclarar que existen casos de uso legítimos para esta práctica, especialmente en entornos corporativos, donde a menudo se inspecciona el tráfico de Internet para contribuir a mejorar la seguridad de la organización. Aquí es donde entran en juego los certificados. Cuando un cliente se conecta a un servidor mediante TLS, el servidor debe proporcionar al cliente su certificado (de servidor). A continuación, el cliente valida dicho certificado para asegurarse de que pertenece al servidor correcto al que intentaba conectarse originalmente. Una vez comprobado esto —como parte del protocolo de enlace TLS—, puede comenzar la comunicación entre el cliente y el servidor.

En la próxima entrega de esta serie seguiré explorando este tema en mi propio blog. Allí abordaremos el proceso de validación de certificados y profundizaremos en el factor humano de la gestión de certificados y en su importancia.

Hasta entonces, le recomiendo encarecidamente que vea una interesante sesión de F5 myForum (Prepárese para los cambios en el panorama de SSL) a cargo de David Warburton y Nigel Ashworth. Ofrece una excelente visión general de la constante evolución de los entornos SSL y TLS, y merece mucho la pena dedicarle tiempo.

Sean Wright es un experimentado ingeniero de seguridad de aplicaciones que comenzó su carrera como desarrollador de software. Se centra principalmente en la seguridad de aplicaciones web, con especial interés en TLS y en temas relacionados con la cadena de suministro. Sean también cuenta con experiencia en liderazgo técnico en materia de seguridad de aplicaciones, así como en la colaboración con equipos para mejorar la seguridad de los sistemas y aplicaciones que desarrollan y mantienen. Puede leer su blog aquí.

Sobre el autor

Sean Wright

Más artículos de Sean Wright