Aprende la jerga de seguridad de contraseñas: TLS

¿Qué es el TLS?

Por una parte, noticias como esta nos pueden hacer sentir un poco tontos. Por otra parte, resulta alentador saber que siempre podemos ir un paso por delante de los ciberdelincuentes, incluso si nuestra única arma es una buena contraseña.

¿Cómo funciona el TLS?

El TLS proporciona una conexión segura y privada entre un cliente (por ejemplo, un navegador web) y un servidor (por ejemplo, nordpass.com). En cuestión de segundos, la comunicación entre ambas partes se verifica, autentica, certifica y cifra. El resultado final del TLS se conoce como «cifrado simétrico seguro». Sin embargo, el proceso se entiende mejor como un «apretón de manos» secreto.

1. El cliente envía un mensaje de presentación al servidor: El mensaje indica qué versión del TLS es compatible con el cliente. También especifica los conjuntos de cifrado compatibles y una secuencia de números aleatorios conocidos como bytes aleatorios de cliente.

   (Los bytes aleatorios garantizan que el apretón de manos es reciente. La aleatoriedad ayuda a evitar que los atacantes simulen una serie de sesiones numeradas de antemano y escojan la más relevante para ti. Ambas partes producirán una secuencia aleatoria a modo de verificación. Encontrarás más información al respecto a continuación).

2. El servidor devuelve un mensaje de presentación: El mensaje de respuesta contiene el certificado TLS/SSL, el conjunto de cifrado escogido y otra secuencia de números aleatoria. El certificado activa el protocolo HTTPS y aparece el símbolo del candado junto a la URL.

3. El cliente autentica el servidor: El cliente verifica el certificado TLS/SSL del servidor con la autoridad que lo emitió. Así se confirma la identidad del servidor y queda demostrado que el cliente se está comunicando con el propietario real del dominio.

4. El cliente crea un «secreto premaestro»: El cliente recibe una clave pública del certificado TLS/SSL del servidor. La clave se utiliza para cifrar otra secuencia de números aleatoria, que recibe el nombre de «secreto premaestro». Solo se puede descifrar con una clave privada retenida por el servidor.

5. El servidor utiliza su clave privada para descifrar el secreto premaestro.

6. Se crea una clave de sesión: A estas alturas, hay tres conjuntos de secuencias de números aleatorias en juego (1: aleatoria del cliente, 2: aleatoria del servidor y 3: secreto premaestro). El cliente y el servidor utilizan las tres para generar una clave de sesión. Una clave de sesión es una medida de protección: una clave única que se utiliza solo una vez para proteger esa sesión en concreto. Cada vez que visites el sitio, se creará una nueva clave de sesión.

7. El cliente anuncia que está listo: El cliente envía un mensaje de finalización cifrado con la clave de sesión única.

   El servidor anuncia que está listo: El servidor hace exactamente lo mismo.

8. El apretón de manos se completa: La comunicación entre el cliente (por ejemplo, Safari) y el servidor (por ejemplo, nordpass.com) está asegurada con cifrado TLS y protegida contra atacantes.

¿El TLS protege contra los hackers?

El TLS es seguro y fiable: Ambas partes negocian un «secreto compartido» y se protege utilizando múltiples capas de códigos y claves de un solo uso. De esta forma, ni los espías ni los atacantes podrán adivinar tus datos ni consultarlos.

El cifrado multicapa codifica tus datos y los convierte en un galimatías. Incluso si un atacante pasivo interceptara tus datos, no podría leer la comunicación.

¿Dónde se utiliza el TLS?

El TLS se utiliza habitualmente para:

Comunicaciones por Internet. Correo electrónico, aplicaciones de mensajería y aplicaciones de VoIP como Skype.

Transacciones online. Aplicaciones financieras como PayPal, Western Union y sitios web de banca online. El TLS se utiliza con frecuencia para las compras online y se representa con un candado verde en el navegador.

¿Cuál es la diferencia entre TLS y SSL?

El TLS es una versión mejorada del SSL.

En 1994, se inventó el SSL (Secure Sockets Layer o protocolo de «capa de puertos seguros») para cifrar los datos, proporcionar una autenticación entre el cliente y el servidor, y proteger los datos que se transmiten en redes poco seguras. En un año ganó mucha popularidad y acabó convirtiéndose en la mejor forma de proteger los datos en correos electrónicos, navegadores web y VoIP. Sin embargo, el SSL tenía un grave problema de seguridad.

En 2013, Google compartió su gran preocupación por la seguridad del SSL 3.0. Dado que el SSL emplea una combinación de texto sin formato y texto cifrado, los hackers podían leer las contraseñas y revelar la información de las cuentas de usuario en distintos sitios web. Cualquier sitio web que utilice el SSL puede sufrir este tipo de ataque, conocido como POODLE.

El TLS se diseñó para corregir los errores del SSL y, por consiguiente, las empresas de todo el mundo acabaron adoptándolo. Lo mejor que pueden hacer los negocios para evitar tener problemas en sus sitios web es asegurarse que tanto su sitio web como el servidor del alojamiento solo utilizan la versión más reciente del TLS.

¿Por qué necesitamos el TLS?

HTTP son las siglas de HyperText Transfer Protocol (protocolo de transferencia de hipertexto) y es la base de cualquier sitio web. Sitios web que empiezan por HTTPS utilizan una conexión segura y privada: la «S» en HTTPS significa «seguro».

Los protocolos TLS o SSL son la base de la tecnología HTTPS.

El TLS cifra las conexiones online para que los hackers no puedan leer tus datos. Sin el TLS, podrían interceptar cualquiera de tus conexiones. Cualquiera podría leer nuestros mensajes, las llamadas online podrían ser interceptadas y los datos de nuestras tarjetas de crédito estarían a la vista de los atacantes. ¿Qué es lo mejor de tener la protección de TLS? Ni siquiera te das cuenta de ello.