Cuando nuestro equipo envía un mensaje desde el navegador web hacia el servidor web donde nos estemos conectando, si no está protegido el mensaje, este puede ser capturado por alguien que esté escuchando el canal de comunicación, como, por ejemplo, en una red Wi-Fi. Este mensaje puede ser capturado para espiar absolutamente todo el tráfico. Por ejemplo, si navegamos por una página web e introducimos una contraseña, esta podrá ser capturada.

Cuando en la barra de direcciones web, donde introducimos la dirección del sitio web que queremos ir sale un candado cerrado, significa que la comunicación con el servidor web se realiza de manera segura, con cifrado punto a punto. Que salga el «candado» no significa que el sitio web sea seguro, simplemente que el canal de comunicación con dicho sitio web sí lo es.

 

Integridad

Cuando nuestro equipo envía un mensaje desde el navegador web hacia el servidor web donde nos estemos conectando, este mensaje puede ser capturado y modificado al vuelo mediante el canal de comunicación, con el objetivo de cambiar la información que haya en él. Una vez modificado, se envía al legítimo destinatario ya modificado, y no se podrá saber si ese mensaje se ha modificado o no. Este tipo de ataques son los populares «man in the middle».

Por este motivo, la integridad en las comunicaciones es fundamente, la integridad significa que, si el mensaje es modificado, el destinatario lo sabrá, y denegará la conexión. Por tanto, con la integridad, se puede garantizar que un mensaje no puede ser modificado (sin que el destinatario lo sepa) y llega a su destinatario exactamente como se envió.

 

Identificación

La identificación significa que puedo verificar quién ha enviado el mensaje mediante el uso de una firma digital, y cuando navegamos por una página web, significa que la página web en la que estamos es auténtica. Todo esto se consigue gracias al protocolo HTTPS, que a través de los certificados SSL, garantiza que estás conectado al lugar correcto. El certificado SSL que nos muestra el navegador web es válido y ha sido emitido por una autoridad de certificación legítima.

En conclusión, la privacidad, la integridad y la identificación son las principales razones por las que el protocolo HTTPS es muy importante.

 

Funcionamiento general de HTTPS

Para que funcione el protocolo HTTPS, necesita una forma de poder proporcionar privacidad, integridad e identificación en los sitios web. La manera de poder proporcionar esto se llama cifrado o encriptación.

 

Cifrado

Hay principalmente dos tipos de algoritmos de cifrado, el algoritmo de clave simétrica y asimétrica.

El algoritmo de clave simétrica, solo utiliza una única clave para cifrar y descifrar los mensajes, su funcionamiento es el siguiente:

• Antes de enviar el mensaje, el navegador cifra el mensaje a enviar, una vez enviado, aunque sea interceptado, si no tiene la clave de descifrado no podrá leer o modificar el mensaje, por lo tanto, el único que puede leer el mensaje es el destinatario que tiene la clave de descifrado, que es la misma que la de cifrado. Si alguien intentase abrir el mensaje, solo vería una cadena de texto sin ningún sentido al estar cifrado.

Sin embargo, el principal problema del algoritmo de clave simétrica es que es muy difícil compartir la clave compartida.

El algoritmo de clave asimétrica, utiliza dos claves, una privada y otra pública. Su funcionamiento es el siguiente:

• El algoritmo asimétrico usa una clave que es pública y la otra es privada. Están emparejadas y trabajan conjuntamente. La clave pública se puede compartir con cualquiera, por eso es pública. Cuando alguien envía un mensaje, cifra el mensaje usando la clave pública del destinatario, y cuando se recibe el mensaje, usa su clave privada que solo él tiene para descifrar el mensaje. Solo la clave privada puede abrir el mensaje cifrado de la clave pública.

Este tipo de algoritmo de clave pública, no solo nos vale para la privacidad, sino que también nos sirve para la identificación de quien envía el mensaje.

 

Handshake de SSL/TLS

Cuanto estás en una página web segura como RedesZone, habrás observado que, en la barra de direcciones, donde introdujiste www.redeszone.net aparece en el lado izquierdo un candado cerrado. Esto significa que cuando entraste en nuestra web, tu navegador se comunicó con nuestro servidor web, y ambos establecieron una conexión segura para transmitirse los datos.

Antes de que esto ocurriese, el navegador y servidor web tienen que ponerse de acuerdo en cómo se van a comunicar de forma segura. Si durante la negociación ocurriese un fallo, el navegador mostraría un error o advertencia, en cambio, si la negociación es correcta, nos muestra un candado cerrado en la barra de direcciones. Este proceso de negociación se denomina Handshake, y dependiendo del protocolo TLS que utilices, es más rápido o menos rápido, ya que la última versión TLS 1.3 incorpora una gran cantidad de mejoras para acelerar al máximo el establecimiento de la conexión.

 

Cómo funciona

El servidor web envía una lista de versiones de SSL / TLS compatibles que hayan configurado, y un conjunto de algoritmos de cifrado con los que puede trabajar con el navegador web. Por otra parte, el navegador web también envía su respectiva lista también. Entonces, se elige la mejor versión de los protocolos SSL / TLS y el algoritmo de cifrado según las preferencias del servidor.

El servidor responderá al navegador web enviando su certificado, que incluye su clave pública para que pueda verificar la identidad del servidor web. El navegador comprueba que el certificado enviado por el servidor sea auténtico, y, entonces, el navegador genera una clave maestra para que tanto navegador como servidor puedan usarla más tarde cuando generen una clave única. Esta clave maestra previa es enviada al servidor usando la clave pública del servidor para cifrarla, y luego, es descifrada por el servidor usando su clave privada.

Todo lo ocurrido hasta ahora ha sido mediante una comunicación abierta y no cifrada, excepto el envío de la clave maestra previa que fue cifrada usando claves asimétricas. Una vez recibido por el servidor la clave maestra previa, ambos generan un “secreto compartido” que es la clave simétrica que usarán, y es entonces cuando todos los datos que van y vienen entre el navegador y servidor están asegurados para el resto de la sesión.

 

¿Qué es una Autoridad de Certificación (CA)?

Una autoridad de certificación (CA) es una organización de terceros, que tiene 3 objetivos principales:

1. Emitir certificados.
2. Confirmar la identidad del titular del certificado.
3. Proporcionar pruebas de que el certificado es válido.

Para convertirse en una CA, se requiere de unos requisitos de seguridad y auditorías que se deben pasar. Debes demostrar que eres confiable para ser aceptado en un «almacén root». Un «almacén root» es una base de datos de CA confiables. Por ejemplo, sistemas operativos y empresas como Apple, Windows y Mozilla tienen sus propios “almacenes root” que preinstalan en sus ordenadores.

 

¿Qué certificados existen?

Básicamente existen tres tipos de certificados que emiten las autoridades de certificación:

• Domain validated: Este certificado solo verifica el nombre de dominio.
• Organization validated: Este certificado requiere la validación y verificación manual de la organización que está detrás del certificado.
• Extended validation: Este certificado requiere una verificación exhaustiva del negocio para el que será emitido.

Cuando un certificado es válido, se muestra una insignia segura en la barra del navegador. Los certificados, además, pueden también mostrar el nombre de la empresa para la que son válidos.

 

¿Cómo se validan los certificados?

Cuando una CA emite un certificado, está lo firma con su certificado raíz que viene preinstalado en el almacén root que tenemos en nuestro equipo o navegador. Tenemos que tener en cuenta que normalmente, la mayoría de las veces, es un certificado intermedio firmado con un certificado raíz. Esto es así porque en caso de que el certificado raíz se viera comprometido, es más fácil revocar los certificados intermedios, porque que los certificados raíz están instalados en cada dispositivo.

Para validar un certificado el proceso es el siguiente:

1. El navegador se conecta a una página web usando el protocolo HTTPS y descarga el certificado.
2. El certificado que se descarga no es un certificado raíz.
3. El navegador descarga el certificado que se utilizó para firmar el certificado en la página web.
4. Pero este certificado aún no es el certificado raíz.
5. Entonces el navegador vuelve a buscar el certificado que firmó el certificado intermedio que se acaba de descargar.
6. Y una vez lo encuentra y lo valida, se confía en toda la cadena de certificados, y por lo tanto, también se confía en el certificado de la página web.

En caso de que el último certificado no sea un certificado raíz, y no haya más certificados para descargar, entonces la página web no es de confianza.

 

¿Por qué usar una CA cuando puedo auto firmar mis certificados?

Aunque un certificado auto firmado proporciona el mismo nivel de cifrado que uno generado por una autoridad, los navegadores verifican que el certificado haya sido emitido por una autoridad confiable, y, si no lo es, muestra un aviso al respecto diciendo que el certificado no es seguro. Los certificados SSL/TLS se compran a diferentes CA, aunque existen CA como Let’s Encrypt que proporcionan certificados totalmente gratuitos.

Los certificados auto firmados solo son útiles para realizar pruebas o usarlos en intranets, pero no se deben usar en páginas web públicas, ya que a los visitantes les aparecerá un aviso en el navegador indicando que no se confía en el certificado, y que la página web podría no ser segura.

 

Diferencias entre HTTPS, SSL y TLS

Cuando navegamos por Internet algo esencial y que valoran mucho los usuarios es la seguridad. Sin embargo, no todas las páginas lo son. Podemos toparnos con webs que no utilizan protocolos de seguridad actuales y que podrían filtrar información personal o datos que introducimos en esos sitios. Al hablar de seguridad en la web, pueden aparecer tres nombres: SSL, TLS y HTTPS. A veces pueden confundirse.

 

Protocolo SSL

Si empezamos por orden, cuando nos referimos a SSL hablamos de Secure Sockets Layer (en español significa capa de sockets seguros). Su función es mantener segura una conexión de Internet. Por ejemplo, si vamos a enviar información o datos de un equipo conectado a la red a otro, esa transmisión va segura. Así evitamos que nuestras comunicaciones sean inspeccionadas en caso de que alguien intercepte dicha comunicación, de esta forma, pondremos a salvo la privacidad y seguridad de nuestras comunicaciones. Gracias al protocolo SSL se logra que la información viaje de un origen a un destino sin que nadie pueda espiar la conexión, ni tampoco alterarla. Si vamos a introducir datos bancarios, enviar contraseñas e información confidencial, es vital que vaya a través de una conexión segura. Actúa como una prueba de identidad contra la otra parte de la comunicación.

SSL es un protocolo creado por Netscape. Su versión 2 se lanzó en el año 1995 con el navegador Netscape 1.1. En 1996 se lanzó la versión SSL 3,0 que solucionaba grandes fallos de seguridad de su versión anterior. Pero en 1999 hubo una guerra de muchos navegadores, y, al final, Netscape como todos sabemos desapareció, pero antes cedió el control del protocolo SSL a la IETF, «Internet Engineering Task Force». Este organismo, antes de finales de 1999 lanzó la versión de TLS 1.0 que en realidad era SSL 3.1. Es decir, SSL cambio su nombre a TLS «Transport Layer Security», creando confusión que sigue aún hoy para diferenciar a los protocolos. Actualmente la última versión de TLS es la 1.3, e incorpora muchas mejoras en seguridad, pero, sobre todo, en rendimiento.

Hoy en día el protocolo SSL está completamente anticuado y obsoleto. La última versión es SSL 3.0, también conocida como SSLv3. Fue lanzada en 1996 para sustituir a la versión anterior, SSL 2.0, pero fue calificada como obsoleta en 2015 por el IETF. Esto hace que los navegadores no lo vean como un protocolo seguro, ya que su sustituto es TLS.

 

Protocolo TLS

Cuando hablamos de TLS realmente estamos ante un protocolo que vino para actualizar el SSL, que quedó obsoleto. Es más seguro, con novedades importantes que hacen que nuestras conexiones sean más fiables. Viene del inglés Transport Layer Security (seguridad de la capa de transporte).

En 1999 se lanzó la versión 1.0 de TLS, pero hasta el año 2006, no se lanzó la versión 1.1 de TLS. Dos años más tarde en 2008, se lanzó TLS 1.2 que solucionaba algunos fallos y vulnerabilidades. Sin embargo, hasta el año 2013, es decir 5 años después, los navegadores no empezaron a agregar soporte para TLS 1.2. Para más inri en el asunto, en el año 2015 el protocolo SSL 3.0 quedó oficialmente en desuso. El protocolo TLS ha recibido diferentes actualizaciones. Hoy en día la última versión es TLS 1.3 que se lanzó en el año 2018.

Sus usos son muy variados, más allá de usarlo en las comunicaciones con páginas webs HTTPS. También lo podemos utilizar en servidores VPN de tipo SSL/TLS, como por ejemplo el conocido OpenVPN. El objetivo de TLS es ofrecer una mayor seguridad y privacidad a las conexiones. Evitar que los datos puedan ser interceptados y también ofrecer mayor velocidad y rendimiento que el SSL. Los navegadores actuales lo consideran un protocolo seguro (desde TLS 1.2 en adelante).

Si hablamos de diferencias entre SSL y TLS podríamos decir que radican principalmente en que SSL se ubica en la capa de sesión del modelo OSI, sin embargo, TLS se encuentra en la capa de transporte. Otra diferencia entre ambos son que con SSL usábamos certificados y algoritmos de cifrado simétrico y asimétrico poco seguros, por este motivo, actualmente todas las conexiones (o la mayoría de ellas) utilizan TLS 1.2 o TLS 1.3.

 

Protocolo HTTPS

Por otra parte, tenemos HTTPS. Sin duda es el protocolo que más reconocerán los usuarios. Es lo que podemos ver cada vez que ponemos una página web. Como sabemos, un sitio web, un dominio, puede estar precedido por HTTP o HTTPS. Esta última opción es la que nos interesa, este protocolo pertenece a la capa de aplicación del modelo OSI.

HTTPS viene de las palabras en inglés Hyper Text Transfer Protocol Secure (protocolo seguro de transferencia de hipertexto). Si un sitio web está protegido hace uso de un certificado SSL/TLS y utiliza algoritmos de cifrado simétrico, asimétrico y de intercambio de claves, hace uso del protocolo HTTPS. Podemos decir que el protocolo HTTPS necesita de un certificado SSL/TLS. En el navegador podremos ver si una web es segura en este sentido. Es muy importante utilizar protocolos SSL/TLS cuando haya intercambio de información personal o sensible. Por ejemplo, para introducir contraseñas, acceder a páginas donde pongamos información delicada y que pueda ser robada.

En definitiva, estos tres protocolos (el SSL ya no, porque está obsoleto) están diseñados para mejorar la seguridad de los navegantes. Son importantes en los sitios webs modernos y que pretenden adaptarse a las exigencias actuales, ya que, en temas de SEO, por ejemplo, prima mucho que una web cuente con estos protocolos.

 

Qué es HSTS y por qué es tan importante

El problema del protocolo HTTPS es que aun así existe la posibilidad de que los atacantes engañen al navegador para que se comunique a través del protocolo HTTP en vez de HTTPS. Esto lógicamente podría suponer un problema de privacidad. La información que estamos enviando podría ser interceptada. Esto es lo que se conoce como un ataque de degradación de protocolo. Podemos decir que evita que ese sitio web que estamos visitando se conecte a través de HTTPS.

Esto ocurre porque el navegador intenta conectarse al sitio HTTP, pero si está disponible la versión HTTPS el servidor automáticamente se conectaría a esta segunda opción más segura. Un pirata informático podría modificar esto, podría basarse en esa primera conexión al sitio HTTP para evitar que termine conectándose en la versión segura. Un ciberdelincuente podría hacerse pasar por el servidor web de ese sitio e incluso enviar una copia exacta al usuario a través de la cual podría robar las credenciales y contraseñas.

Ahora bien, para solucionar este problema es donde entra en juego HSTS. Sus siglas vienen de HTTP Strict Transport Security. Sirve para evitar ataques de degradación de protocolo, como hemos visto que es una posibilidad. Este protocolo lo que hace es decirle al navegador que se conecte con el sitio web únicamente a través de HTTPS. Evitan así que no puedan conectarse de ninguna manera a través de HTTP.

Después de que se comunica ese mensaje, el navegador recuerda que no debe intentar comunicarse con el sitio web a través de HTTP e inicia futuras solicitudes al sitio desde HTTPS. Siempre accede, por tanto, a la opción segura en la que la información no va a correr peligro y va a estar protegida. Además, hay que tener en cuenta que todos los navegadores populares también vienen con sus propias listas HSTS precargadas a las que pueden consultar y determinar si un sitio web usa HSTS o no. Por ejemplo, en Google Chrome o Mozilla Firefox. Esto hace que los ataques de degradación de protocolo sean cada vez más difíciles. En definitiva, HSTS es un protocolo interesante que deben implementar los webmasters en su servidor web para que sea más seguro en general. Es especialmente importante si un sitio requiere la transferencia de datos confidenciales del usuario. Es importante para que un sitio web sea más seguro de cara a los usuarios.

Ya sabemos que la seguridad es un factor muy importante. Es a la hora de navegar donde más problemas podemos tener, donde nuestra información puede verse comprometida por alguno de los muchos ataques que existen en la red. Por tanto, cifrar los sitios web, mejorar la seguridad en los servidores, es algo fundamental. De esta forma también nuestro sitio mejorará en reputación.

 

Cómo saber si una página web soporta HSTS

Hemos visto qué es HSTS y por qué es una solución interesante para cifrar los datos al navegar por Internet. Ahora vamos a explicar qué podemos hacer para saber si una página web soporta este protocolo o no. Es algo muy interesante para evitar ataques y tener más seguridad a la hora de entrar en ese sitio y confiar en que nuestros datos van a estar a salvo.

Tenemos a nuestra disposición una herramienta online gratuita y muy sencilla de utilizar con la que podemos ver rápidamente si una página web soporta o no HSTS. Se trata de HSTSPreload. Cuando entremos nos encontraremos con una barra de direcciones donde tendríamos que poner la URL del sitio que nos interesa saber si lo acepta o no.

Cuando hayamos puesto la dirección que nos interesa, simplemente tenemos que darle a Check HSTS. En caso de que ese sitio tenga HSTS aparecerá en verde, con un mensaje indicando que lo tiene activado. En cambio, si ponemos una URL que no sea compatible veremos que aparece en rojo y un mensaje donde nos indica que ese sitio no es compatible por el momento. Este proceso es inmediato, por lo que no tendremos que esperar para ver los resultados en la pantalla.

Son muchas las páginas web que todavía no han incorporado este protocolo. Otras, en cambio, ya lo han hecho. Podemos probar las que nos interese y gracias a esta herramienta saber si un sitio acepta HSTS o no. Lo podemos ver de una manera rápida y sencilla simplemente siguiendo estos pasos que hemos explicado.

En definitiva, como has podido ver el protocolo HSTS es importante de cara a mejorar la seguridad al navegar por la red. Es esencial para que nuestra información esté siempre protegida y no terminemos en la versión HTTP de una página y un posible intruso, por ejemplo, en una red Wi-Fi pública, pueda robar información personal.

 

¿Estamos seguros en una red Wi-Fi si usamos HTTPS?

Cuando navegamos por la red podemos ser víctimas de muchos tipos de ataques. Hay muchas amenazas que pueden poner en riesgo el buen funcionamiento de nuestros sistemas y nuestra propia privacidad. Esto aumenta si nos conectamos a una red Wi-Fi pública. Ahora bien, el hecho de navegar por páginas cifradas HTTPS disminuye el riesgo de que nuestros datos e información puedan filtrarse. Sin embargo, ¿hasta qué punto esto es realmente así y estamos a salvo?

A la hora de navegar por redes inalámbricas públicas hay que tener en cuenta el riesgo de que nuestros datos puedan filtrarse. No sabemos realmente quién puede estar detrás de esa red Wi-Fi y qué intereses puede tener. Es posible que nos topemos con algún tipo de pirata informático que esté a la espera de robar datos de los usuarios que se conecten.

El problema es que en ocasiones los usuarios pueden creer que el hecho de navegar por páginas cifradas HTTPS ya hace que la navegación sea segura. Es cierto que es muy importante que a la hora de introducir datos e información personal en las diferentes páginas que utilicemos lo hagamos en páginas de este tipo. La cuestión principal es que el hecho de navegar por páginas HTTPS y a través de redes públicas puede ser un problema igualmente. Cualquier atacante podría recopilar ciertos datos pese a que naveguemos por páginas cifradas. Estos datos pueden incluir el nombre del dominio o el tamaño de los archivos que descargamos, por ejemplo. En definitiva, aún estando cifrada la página sí que podrían acceder a ciertos metadatos.

Es cierto que, el nombre de usuario, las contraseñas, los formularios que rellenamos o los mensajes que enviamos van a estar protegidos debido a que la comunicación de HTTPS nos garantiza la confidencialidad, autenticidad y la integridad de la conexión con el servidor web. Sin embargo, hay métodos para «saltarse» este HTTPS en determinadas circunstancias.

 

La importancia del protocolo HSTS

Respecto a lo último que mencionábamos tiene una gran importancia el protocolo HSTS. Es un mecanismo de seguridad que está diseñado para asegurar las conexiones HTTPS en todo momento. Mitiga ataques de tipo SSLstrip que permiten «levantar» la conexión HTTPS, y que pueden llevar a cabo posibles ciberdelincuentes para acceder a la información y datos que enviamos.

Esto es algo que corre a cuenta del responsable de la web. Forma parte de la seguridad del servidor y, en definitiva, de un dominio y sus subdominios. Debe estar activado para realmente hacer que esa página esté segura. Esto significa que, aunque entremos en páginas web HTTPS podrían levantar esa barrera de seguridad si la página no tiene HSTS activado, y siempre y cuando hayamos entrado previamente en esa página al guardarse una cookie, o tenemos el navegador preconfigurado para un dominio en cuestión.

En el caso de Google Chrome, que es el navegador más popular y utilizado hoy en día, tendríamos que entrar en chrome://net-internals/#hsts. Una vez aquí podremos tanto añadir dominios de manera manual, como también borrar los que tenemos guardados.

Adicionalmente a esto tenemos que introducir el nombre del dominio en el apartado Query HSTS/PKP domain y pinchar en Query. La respuesta debería de ser Not found. Con esto habremos borrado la caché HSTS en nuestro navegador, pero no es recomendable hacerlo por seguridad. Si en un determinado momento el navegador nos devuelve un error a la hora de conectarnos, es posible que el certificado del sitio haya caducado, o nos estén haciendo un ataque MitM.

 

Aplicaciones para descifrar tráfico HTTPS

Por tanto, podemos decir que un pirata informático con los conocimientos necesarios podría descifrar el tráfico HTTPS cuando nos conectamos a una red Wi-Fi pública. Un ejemplo es la aplicación SSLstrip. Básicamente permite realizar un ataque Man in The Middle, y lo que hace realmente es engañar al cliente convirtiendo la web que quiere visitar de HTTPS en HTTP. De esta forma podría acceder a la información. Os dejamos un tutorial donde explicamos cómo funciona SSLstrip.

Pero el caso de SSLstrip no es único, ya que existen otras herramientas con un fin similar. Otro ejemplo es Breach, un script que utiliza una técnica capaz de obtener la información que contiene los paquetes HTTPS. En definitiva, aunque naveguemos por una página HTTPS en una red Wi-Fi pública nuestra información puede estar en peligro. Hay métodos a través de los cuales los piratas informáticos podrían levantar la barrera y hacer que esas conexiones no sean todo lo seguras que nos gustaría.

Nuestro consejo es evitar introducir datos personales, contraseñas e información confidencial siempre que naveguemos a través de redes inalámbricas que puedan ser inseguras. Es conveniente también hacer uso de una VPN.