PROTOCOLO TLS

INTEGRANTES:

BRILLIT FERNANDEZ INGRID LISETH PEÑA

El protocolo TLS (Transport Layer Security) es una evolución del protocolo SSL.Desarrollado por Netscape, SSL versión 3.0 publicada en 1996, siendo esta la base para desarrollar TLS versión 1.0.Protocolo definido por el estándar de la IETF (RFC 2246).En la actualidad el protocolo TLS surge como las mejoras al protocolo SSL 3.0.En la actualidad está en vigencia la versión 1.1 del TLS referenciada en el RFC 43462.

HISTORIA DE PROTOCOLO TLS

Es un protocolo que permite establecer una conexión segura entre un cliente y un servidor.

Tiene la capacidad de autenticar tanto al cliente como al servidor.

Crear una comunicación cifrada entre el cliente y el servidor.

Es utilizado para brindar seguridad a nivel de la capa de transporte.

DESCRIPCIÓN DEL PROTOCOLO TLS

El protocolo TLS se basa en tres fases básicas:

• Negociación.• Autenticación y claves.• Transmision segura.

DESCRIPCIÓN DEL PROTOCOLO TLS

Seguridad criptográfica. El protocolo se debe emplear para establecer una conexión segura entre dos partes.

Interoperabilidad. Aplicaciones distintas deben poder intercambiar parámetros criptográficos sin necesidad de que ninguna de las dos conozca el código de la otra.

OBJETIVOS

Extensibilidad. El protocolo permite la incorporación de nuevos algoritmos criptográficos.

Eficiencia. Los algoritmos criptográficos son costosos computacionalmente, por lo que el protocolo incluye un esquema de caché de sesiones para reducir el número de sesiones que deben inicializarse desde cero (usando criptografía de clave pública).

OBJETIVOS

El protocolo está dividido en dos niveles:

Protocolo de registro TLS (TLS Record Protocol).Se implementa sobre un protocolo de transporte fiable como el TCP. El protocolo proporciona seguridad en la conexión con dos propiedades fundamentales:

La conexión es privada: Para encriptar los datos se usan algoritmos de cifrado simétrico.

La conexión es fiable: El transporte de mensajes incluye una verificación de integridad.

FUNCIONAMIENTO

Protocolo de mutuo acuerdo TLS (TLS Handshake Protocol).

El Protocolo de mutuo acuerdo, proporciona seguridad enla conexión con tres propiedades básicas: La identidad del interlocutor puede ser autentificada

usando criptografía de clave pública. Esta autentificación puede ser opcional, pero generalmente es necesaria al menos para uno de los interlocutores.

La negociación de un secreto compartido es segura. La negociación es fiable, nadie puede modificar la

negociación sin ser detectado por los interlocutores.

FUNCIONAMIENTO

Desde el punto de vista de seguridad, los SSL 3.0 deben ser considerados menos deseables que el TLS 1.0 debido a que el cifrado SSL 3.0 tiene un proceso de derivación de claves débiles, la mitad de la clave maestra que se establece es totalmente dependiente de la función hash MD5, que no es resistente a las colisiones y, por tanto, no se considera seguro.

Existen dos herramientas muy completas para auditar la seguridad de SSL/TSL: SSLScan y SSL Audit.

● SSLScan: Sirve para comprobar el tipo de cifrado SSL que utiliza un servicio. Es una herramienta para Linux que necesita el compilador GNU para C y la librería OpenSSL.

● SSL Audit: Es otra herramienta para comprobar el tipo de cifrado SSL.

SEGURIDAD

Hardening SSL-TLS

Harden SSL/TLS es una aplicación que permite mejorar la seguridad de SSL/TLS de las versiones de Windows 2000, 2003, 2008, 2008 R2, XP, Vista y 7.

Permite realizar políticas específicas de ajuste con respecto a los cifrados y a los protocolos que estén disponibles para aplicaciones que utilizan la interfaz SCHANNEL de criptografía, ya sean aplicaciones cliente o servidor. Una gran cantidad de aplicaciones de Windows utilizan esta interfaz, por ejemplo: Google Chrome, Safari, etc. Al cambiar la configuración indirectamente se puede controlar que cifrados pueden utilizar estas aplicaciones.

SEGURIDAD

Una Autoridad Certificadora (AC, en inglés CA) es una entidad confiable que se encarga de garantizar que el poseedor de un certificado digital sea quien dice ser, brindando confianza a ambas partes de una comunicación segura SSL/TLS.

AUTORIDAD CERTIFICADORA

La función pseudo aleatoria divide los datos de entrada en 2 mitades y las procesa con algoritmos hash diferentes (MD5 y SHA), después realiza sobre ellos una operación XOR. De esta forma se protege a sí mismo de la eventualidad de que alguno de estos algoritmos se torne vulnerable en el futuro.

MEDIDAS DE SEGURIDAD

Existe una vulnerabilidad del procedimiento de renegociación fue descubierto en agosto de 2009, que puede conducir a ataques de inyección de texto contra SSL 3.0 y todas las versiones actuales de TLS.

Permite a un atacante que puede secuestrar una conexión HTTP para empalmar sus propias peticiones en el comienzo de la conversación que el cliente con el servidor web.

VULNERABILIDADES

Microsoft está consciente de la información detallada que se publicó describiendo un nuevo método para explotar una vulnerabilidad en SSL 3.0 y TLS 1.0, afectando al sistema operativo Windows.

Esta vulnerabilidad afecta por sí al protocolo y no es para un sistema operativo específico de Windows. Esta vulnerabilidad de divulgación de información permite revelar el tráfico cifrado

VULNERABILIDADES

Es importante que estés consciente que pese acceder sólo a sitios seguros, la tecnología SSL/TLS no garantiza al 100% que tu información esté segura; considera que, como toda creación humana, tiene fallos. Los atacantes se han vuelto muy hábiles e ingeniosos para burlar estos mecanismos de seguridad.

PUNTO DÉBIL DE LA TECNOLOGIA

Evitar hacer uso de computadoras y redes públicas Instala un antivirus y procurar hacer 20 mantenerlo

utilizado Mantener actualizado el navegador cuando se utilice el HTTPS, verificar la vigencia del

certificado

RECOMENDACIONES