Una conexión segura a los sitios web es vital para garantizar que no se roben datos confidenciales en tránsito, y este proceso se logra a través de Secure Sockets Layer (SSL) mediante certificados SSL. ¿Qué es un Certificado SSL¿Se preguntará? Un certificado SSL traslada su conexión de un... HTTP Conexión a una conexión HTTPS. HTTP, o Protocolo de Transferencia de Hipertexto, es una conexión insegura entre un navegador web y un sitio web. La razón por la que HTTP es tan inseguro se debe a su falta de... cifrado de datos, que es lo que hace HTTPS. HTTPS, o Protocolo Seguro de Transferencia de Hipertexto, implementa el cifrado de datos en tránsito para garantizar que, incluso si se produjera un ataque de intermediario (MITM), el atacante no pudiera leer esos datos. Sin embargo, la eliminación de SSL evita esto. Con la eliminación de SSL, los atacantes pueden implementar un MITM. atacar y cambiar la conexión de HTTPS a HTTP sin protección. Antes de analizar cómo funciona un SSL Strip, primero debemos responder a una pregunta común: ¿Qué es SSL?
Comprensión de la capa de sockets seguros
Fuente 1: www.cloudflare.com
SSL, más conocido como Seguridad de la Capa de Transporte (TLS) o SSL/TLS, es un método para cifrar el tráfico a través de Internet y autenticar la identidad de un servidor. Este cifrado se realiza mediante el protocolo de enlace TLS. Cuando un usuario intenta conectarse a un servidor web a través de su navegador, se inicia un protocolo de enlace TCP y, posteriormente, un protocolo de enlace TLS entre el cliente y el servidor. El protocolo de enlace TCP es bastante sencillo en comparación con el protocolo de enlace TLS. El protocolo de enlace TCP comienza con un mensaje SYN del cliente al servidor, como se puede observar en el diagrama anterior. Un mensaje SYN contiene un número de secuencia establecido por el cliente, que el servidor confirma incrementando dicho número. El número de secuencia incrementado se envía al cliente para confirmar que el servidor lo ha recibido. Junto con el número incrementado, el servidor también envía su propio número de secuencia para que el cliente lo confirme. El número de secuencia confirmado por el cliente, así como el del servidor, se envían en un mensaje denominado SYN/ACK. El paso final de un protocolo de enlace TCP se produce cuando el cliente reconoce el número de secuencia del servidor, mediante incremento, en el mensaje ACK.
El protocolo de enlace TCP no está cifrado, ya que su único propósito es conectar al cliente y al servidor. El protocolo de enlace TLS es donde entra en juego el cifrado. Un protocolo de enlace TLS consta de varios pasos, comenzando con el saludo del cliente:
- Mensaje de saludo del cliente: El mensaje "Hola del Cliente" inicia la comunicación entre el cliente y el servidor. El cliente envía un mensaje de "Hola" al servidor. Este mensaje contiene la información SSL/TLS necesaria para una conexión TLS correcta, incluyendo la versión de SSL/TLS y los conjuntos de cifrado compatibles con el cliente para su uso en el servidor, así como una cadena de bytes aleatorios denominada "bytes aleatorios del cliente".
- Mensaje de Hola del servidor: El saludo del servidor se envía en respuesta al saludo del cliente. Contiene el certificado SSL del servidor, el conjunto de cifrado seleccionado y el "servidor aleatorio". Al igual que el "cliente aleatorio", esta es otra cadena aleatoria de bytes.
- Autenticación del certificado SSL del servidor: El siguiente paso en el protocolo de enlace TLS es que el cliente autentica que el certificado SSL del servidor es válido y pertenece a la entidad que el servidor indica. Este proceso se realiza mediante una consulta del cliente con el servidor. Autoridad de certificación (CA) que emitió el certificado y verificar esta información.
- El secreto del premaster: El cliente envía entonces otra cadena aleatoria de bytes al servidor, cifrada con la clave pública del servidor. Cuando se crea un par de claves, este contiene una clave pública y una clave privada, conocidas por todos y por nadie excepto el creador, respectivamente. Dado que solo el propietario del par de claves conoce la clave privada, cualquier información cifrada con la clave pública del servidor solo puede ser descifrada por el servidor. descifrado Con la clave privada del servidor. Este paso añade otra forma de verificar la identidad del servidor.
- Descifrado del secreto de Premaster: La clave privada del servidor se utiliza para descifrar el secreto premaster, verificando la identidad del servidor ante el cliente.
- Creación de clave de sesión: Utilizando la clave aleatoria del cliente, la clave aleatoria del servidor y la clave secreta premaster, tanto el cliente como el servidor generan una clave de sesión. Si tanto el servidor como el cliente tienen las claves correctas, es decir, son quienes dicen ser, las claves de sesión creadas deberían ser idénticas.
- Mensaje de cliente finalizado: El cliente envía al servidor un mensaje de "Finalizado", cifrado con la clave de sesión. Si el servidor es quien dice ser, debería poder descifrar el mensaje, ya que debería haber generado la misma clave de sesión.
- Mensaje de servidor finalizado: El servidor envía al cliente un mensaje de "Finalizado", cifrado con la clave de sesión. Si el cliente es quien dice ser, debería poder descifrar el mensaje, ya que debería haber generado la misma clave de sesión.
- Se utiliza cifrado simétrico seguro: Ahora, usando cifrado asimétricoSe establece una conexión de cifrado simétrico. El cifrado asimétrico requiere dos claves, mientras que el cifrado simétrico requiere solo una. El cliente y el servidor utilizarán la clave de sesión generada para cifrar simétricamente todas sus comunicaciones.
Ahora que hemos respondido a la pregunta de qué es SSL, podemos ver cómo se produce el desbloqueo de SSL.
Eliminación de SSL
El proceso de eliminación de SSL es un ataque MitM bastante sencillo. Como su nombre indica, la eliminación de SSL consiste en convertir una conexión HTTPS en una conexión HTTP menos segura. El atacante lo consigue interponiéndose en la conexión entre el cliente y el servidor. Esto le permite interceptar todo el tráfico entre ambos. La eliminación de SSL se produce cuando se inicia una conexión mediante el protocolo de enlace TCP sin cifrar. El funcionamiento es el siguiente: el usuario envía una solicitud al servidor para acceder a una página web, como https://www.example.com. El atacante intercepta este mensaje, pero lo reenvía al destinatario igualmente. El motivo de enviarlo al servidor es recibir la confirmación SYN/ACK. Tras recibir la solicitud del sitio web, el servidor envía la conexión al cliente, pero en lugar de la página web solicitada originalmente, envía http://www.example.com.
Dado que la conexión ahora es HTTP en lugar de HTTPS, cualquier mensaje, incluyendo datos confidenciales, que se envíe a través de ella es visible para el atacante. Esto incluye contraseñas, nombres de usuario e información bancaria enviada por el usuario. Los ciberdelincuentes también podrían configurar un servidor proxy con un nombre similar al del servidor solicitado, lo que les permitiría infectar aún más a la víctima con malware. Configurar un servidor proxy con SSL stripping es una forma mucho más efectiva de atacar a las víctimas que los ataques de phishing. Los ataques de phishing consisten en engañar a la víctima para que visite una página web aparentemente legítima, lo que permite al atacante robar información confidencial introducida por la víctima en diferentes campos. Con SSL stripping, el usuario puede que nunca sepa que ha estado proporcionando información confidencial a los atacantes. Los atacantes pueden implementar SSL stripping mediante suplantación de ARP, un servidor proxy o el uso de Hotspot. Ahora que sabemos cómo funciona SSL stripping, veamos cómo detectarlo y cómo protegernos.
Detección y mejores prácticas
La supresión de SSL se puede detectar de varias maneras. La más obvia es observar la dirección web en la barra de búsqueda. Si se ha producido la supresión de SSL, la dirección tendrá «http» en lugar de «https». Además, el candado a la izquierda de la barra de búsqueda aparecerá abierto o en rojo, lo que indica que la conexión no utiliza el formato HTTPS deseado. Otra forma de detectar la supresión de SSL es observar detalles de diseño anómalos en el sitio web. Si sospecha que se ha producido, pequeños detalles en la página web que difieran notablemente de la página legítima pueden ser una pista. Elementos como logotipos de empresa ligeramente modificados, la ausencia de varias páginas en el sitio web o incluso errores ortográficos pueden indicar que no se trata del sitio web legítimo.
Una vez detectado el robo de certificados SSL, el siguiente paso es prevenirlo, tanto ahora como en el futuro. Uno de los mejores métodos de prevención es detectar irregularidades en la barra de búsqueda o en la página web. Al estar alerta ante esta amenaza, se puede vigilar constantemente la posibilidad de ataques de robo de certificados SSL. Los miembros del equipo de la organización también deben conocer esta amenaza para protegerse a sí mismos y a la empresa. La capacitación impartida por miembros del equipo con experiencia o profesionales capacitados contribuirá en gran medida a la protección de datos confidenciales. Otra forma de proteger los navegadores web del robo de certificados SSL es introduciendo manualmente la URL en la barra de búsqueda. La mayoría de los ataques de intermediario (MitM) comienzan con redirecciones de un sitio web al sitio web objetivo. Mediante esta redirección, un atacante puede interceptar el intercambio de datos entre un cliente y un servidor. Al introducir manualmente la URL en la barra de búsqueda, se puede evitar que el ataque MitM se inicie.
Las extensiones de navegador son otro método eficaz para detener tanto los ataques de intermediario (MitM) como el robo de certificados SSL. Extensiones como HTTPS Everywhere utilizan listas de dominios y reglas para gestionar las solicitudes de páginas a través de conexiones HTTPS, lo que significa que todas las solicitudes a páginas web se realizan exclusivamente mediante conexiones HTTPS. Si eres administrador de un sitio web, también debes seguir ciertas buenas prácticas para garantizar que no se produzca el robo de certificados SSL en tu sitio. La principal forma de lograrlo es habilitando SSL en todo el sitio. Muchos ciberdelincuentes se aprovechan de los sitios web con SSL habilitado solo en una página, pero al habilitar SSL en todo el sitio, les resultará más difícil realizar un ataque de robo de certificados SSL. Incluso las imágenes y los enlaces dentro de las páginas web deben estar protegidos con certificados SSL.
Una de las principales medidas de protección contra el robo de certificados SSL es el uso de HTTP Strict Transport Security (HSTS). HSTS es una política que restringe las conexiones HTTPS a los sitios web. Esto impide que los atacantes utilicen el robo de certificados SSL para conectarse a través de HTTP. Las solicitudes HTTP se redirigen automáticamente a HTTPS. Una vez implementado HSTS, su dominio se puede añadir a la lista de precarga. Esta lista la utilizan muchos motores de búsqueda, como Google Chrome, Mozilla Firefox y otros, para bloquear las conexiones HTTP. La lista de precarga incluye, junto con el dominio de su navegador, todos los subdominios y dominios de nivel superior. Además, algunos dominios de nivel superior (TLD), como .APP, se incluyen por defecto. Esto significa que el sitio web .APP se cifra automáticamente con HTTPS, nunca con HTTP.
Algunos pasos finales que puede utilizar en su entorno para protegerse de la eliminación de SSL son los siguientes:
- Uso de redes privadas virtuales: Las redes privadas virtuales (VPN) protegen los datos de los usuarios en los sitios web, independientemente del tipo de conexión. Si un usuario utiliza una VPN al visitar un sitio web HTTP, los datos permanecen cifrados gracias a la red privada virtual. Esta capa adicional de seguridad puede proteger tanto a toda una red como a un usuario individual.
- Evitar el Wi-Fi público: Las redes Wi-Fi públicas, especialmente las de los aeropuertos, son ideales para ataques de intermediario (MitM). A través de estas redes, se pueden interceptar fácilmente datos confidenciales o redirigir a los usuarios a sitios web maliciosos.
Cookies y marcadores: Si te encuentras en una red de confianza, guarda en favoritos los sitios web donde introduces información confidencial. Una vez que accedas a un sitio web con HTTPS, como el de tu banco, guarda ese sitio seguro en favoritos para usarlo en el futuro, ya que siempre tendrá una conexión HTTPS. Además, habilitar las cookies seguras garantiza que todos los datos de las cookies se transmitan de forma segura.
-
Enlaces desconocidos y HTTPS: La forma más obvia, pero aún frecuente, de evitar la eliminación de SSL es no hacer clic en enlaces sospechosos ni aceptar conexiones a sitios web sin HTTPS. Si un sitio web tiene una conexión HTTP, abandone el sitio y vuelva a escribir la URL.
Cómo la consultoría de cifrado puede protegerle
Varios de nuestros servicios en Encryption Consulting pueden ayudar a proteger a su organización contra ataques como la eliminación de SSL. Servicios de asesoramiento sobre cifrado Podemos ayudar a su empresa a identificar cualquier vulnerabilidad de seguridad en su infraestructura de TI, incluyendo certificados SSL faltantes o caducados. Posteriormente, diseñamos e implementamos un plan para cubrir todos sus problemas de seguridad, protegiendo así sus datos confidenciales de atacantes maliciosos. Para problemas con certificados SSL/TLS, recomendamos el uso de ciclo de vida del certificado herramientas de gestión o migración a servicios PKI en la nube. Configuración de una Infraestructura de clave pública (PKI) en una plataforma en la nubeServicios como Amazon Web Services le permiten usar certificados SSL de AWS para una infraestructura mejor administrada y protegida. Trabajamos con sus equipos para diseñar una estrategia de cifrado de datos en cada fase, especialmente para datos en reposo y en tránsito, como los que se envían a través de una conexión HTTP. Nuestro equipo de expertos implementará la estrategia de cifrado según las necesidades de su empresa, permitiéndole personalizarla al máximo.
También ofrecemos nuestro Gestión del ciclo de vida de los certificados Servicios a clientes. Encryption Consulting ofrece una amplia gama de servicios en el ámbito de la gestión de certificados, desde la estrategia hasta la implementación y los servicios gestionados. La consultoría en cifrado puede ayudar a resolver los problemas y desafíos relacionados con la gestión del ciclo de vida de los certificados, mediante:
- Establecer requisitos y diseñar la arquitectura
- Realizar un análisis de descubrimiento de red
- Importación de certificados existentes
- Configuración de políticas e informes
- Incorporación de un conjunto de aplicaciones piloto
- Preparación de documentación para operaciones y entrenamiento
- Desarrollar un plan para abordar las brechas
- Desarrollar una guía de procesos/operaciones y ofrecer capacitación certificada
Con nuestros servicios de Gestión del Ciclo de Vida de Certificados, podemos ayudarle a supervisar y proteger sus certificados SSL tanto en sus instalaciones como en la nube. Ofrecemos servicios de certificados en la nube en diversas plataformas, como AWS, Microsoft Azure y Google Cloud Platform (GCP).
Un último servicio que ofrecemos para ayudarle a protegerse de los ataques de supresión de SSL es nuestro Evaluación de PKIOfrecemos servicios de estrategia e implementación. Con este servicio, le ayudaremos a evaluar los requisitos que su organización debe establecer para su infraestructura de clave pública (PKI) con el fin de obtener la máxima protección y beneficios. En nuestra fase de estrategia, creamos una hoja de ruta para ayudarle a comprender cómo cumplir con todos sus requisitos de PKI al menor costo posible.
En la etapa final, la fase de implementación, creamos la infraestructura de clave pública (PKI) basándonos en la hoja de ruta elaborada en la etapa anterior. Nuestras PKI se crean teniendo en cuenta sus requisitos, lo que significa que cumplen con todos los estándares, como FIPS 140-2 o PCI DSS, que usted deba cumplir. Además de nuestros servicios de asesoramiento, también ofrecemos PKI como servicio a nuestros clientes. PKI como servicioCreamos una infraestructura de clave pública híbrida (PKI), con la autoridad de certificación raíz ubicada en nuestro centro de datos en Dallas, Texas, o en sus instalaciones. Podemos otorgarle a su organización tantos o tan pocos permisos y tareas de administración como necesite. Si lo desea, podemos administrar la PKI por completo.
Conclusión
A lo largo de nuestra guía, hemos respondido a varias preguntas frecuentes, como qué es SSL y qué es un certificado SSL. Al responderlas, comprendimos mejor cómo se produce un protocolo de enlace SSL y cómo los ciberdelincuentes manipulan el protocolo de enlace TCP no seguro que precede al protocolo de enlace SSL/TLS para interceptar datos confidenciales transmitidos a través de una conexión. También aprendimos cómo se producen los ataques de supresión de SSL y cómo pueden robar información de los usuarios. Incluso con un certificado SSL de AWS, los atacantes pueden realizar ataques de intermediario (MitM) para cambiar su conexión HTTPS a HTTP. Utilizan enlaces de redireccionamiento y redes Wi-Fi públicas para redirigir su conexión a un sitio web legítimo y robar su información. Afortunadamente, existen diversas buenas prácticas que usted o su organización pueden implementar para protegerse contra los ataques de supresión de SSL. Las redes privadas virtuales (VPN) son un método excelente para proteger las conexiones SSL, ya que cubren toda la red y mantienen sus datos cifrados, independientemente de si se conecta a un sitio web mediante HTTP o HTTPS. Otros métodos más sencillos para evitar la eliminación de certificados SSL incluyen usar marcadores en sitios web con conexión HTTPS, habilitar cookies seguras, evitar redes Wi-Fi públicas, no hacer clic en enlaces desconocidos y no acceder nunca a un sitio web sin conexión HTTPS. Otra forma de proteger su organización, que ya hemos comentado, es contratar los servicios de protección de datos de Encryption Consulting para gestionar su infraestructura de clave pública (PKI), el ciclo de vida de los certificados y para detectar y corregir cualquier vulnerabilidad en su infraestructura de seguridad.
Para obtener más información sobre cómo Encryption Consulting puede proteger sus datos confidenciales, visite nuestro sitio web en www.encryptionconsulting.com/
