¿Qué es un protocolo seguro?
Un protocolo seguro es una forma de comunicarse por la red que cifra los mensajes y comprueba con quién hablas. TLS protege las webs, SSH el acceso a los servidores y un túnel une dos redes por internet.
En una cafetería con wifi gratuita, cualquiera que esté en la sala puede mirar el tráfico sin cifrar. Con un protocolo seguro, lo que captura es ruido.
Al final de esta lección
Nota
Puedo elegir el protocolo que protege el tráfico de cada servicio.
Palabras clave
| Palabra | Qué significa | Ejemplo |
|---|---|---|
| Cifrado | convertir un mensaje en algo ilegible sin la clave | |
| Autenticación | comprobar que el otro extremo es quien dice ser | |
| Certificado | un documento firmado que une un nombre con una clave pública | |
| Huella | un resumen corto de una clave, para compararla | b78600ed |
| Túnel | una conexión cifrada que lleva dentro otro tráfico |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Un protocolo seguro protege tres cosas
Primero, la confidencialidad: nadie más puede leer el mensaje, porque va cifrado. Segundo, la integridad: si alguien lo cambia por el camino, se nota.
Tercero, la autenticación: sabes con quién hablas. Sin ella, cifras muy bien un mensaje que entregas a un impostor.
Ejemplo resuelto: del protocolo sin cifrar al seguro
| Se usaba | Problema | Se usa ahora | Para qué |
|---|---|---|---|
| HTTP | El contenido y las claves viajan a la vista | HTTPS (HTTP sobre TLS) | Webs |
| Telnet | La contraseña viaja a la vista | SSH | Acceso remoto a servidores |
| FTP | Usuario, clave y archivos a la vista | SFTP (sobre SSH) | Transferir archivos |
| Una conexión sin protección entre dos sedes | Cualquiera en el camino puede leerla | Un túnel cifrado | Unir redes |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Mira los valores seguros de TLS
python3 -c "import ssl; c = ssl.create_default_context(); print(c.minimum_version.name, c.check_hostname, c.verify_mode.name)"Se muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
TLS cifra y comprueba con un certificado
Cuando abres una web con HTTPS, el servidor te enseña su certificado. Es un documento firmado por una entidad de confianza que dice «esta clave pública es de este nombre». Tu navegador lo comprueba antes de enviar nada.
Después se pone de acuerdo con el servidor en una clave de sesión y todo lo demás va cifrado. Las versiones antiguas de TLS y de SSL tienen fallos conocidos: se usan la 1.2 y la 1.3.
SSH usa huellas y claves
La primera vez que te conectas por SSH, el servidor te enseña la huella de su clave: un resumen corto. Si la compruebas con otro medio y coincide, hablas con el servidor correcto.
Para entrar, una contraseña se puede adivinar probando mil veces. Un par de claves, no. Por eso un servidor bien puesto exige clave y no deja entrar a root directamente.
Calcula la huella de un texto
printf "clave-publica-del-servidor" | sha256sumSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Qué enseña ese resumen
La orden imprime 64 cifras y letras que empiezan por b78600ed. Si cambias una sola letra del texto, el resumen cambia por completo.
Así se comparan claves largas: en lugar de leer miles de caracteres, comparas una huella corta. Si coincide, la clave es la misma.
Un error frecuente
Advertencia
Mucha gente cree que el candado de la barra del navegador significa que la web es honrada. El candado solo dice que la conexión va cifrada y que el nombre del certificado coincide. Una web de estafa también puede tener candado.
Un túnel cifra el tráfico entre sedes
Un túnel mete el tráfico de una red dentro de una conexión cifrada entre dos puntos. Una librería con dos sedes lo usa para que ambas se vean como una sola red, mientras internet solo ve tráfico entre las dos pasarelas.
El túnel cifra de punta a punta entre las dos pasarelas. Dentro de cada sede, el tráfico sigue siendo el de siempre.
Conoce las cuatro máquinas del laboratorio
wglab statusSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
El DNS normal se lee y se falsifica
El DNS traduce nombres a direcciones. Una consulta normal viaja sin cifrar por el puerto 53: quien está en el camino ve qué webs visitas y puede contestar una dirección falsa.
Hay dos defensas. DNS sobre TLS y sobre HTTPS cifran la consulta. DNSSEC firma las respuestas, para que una falsa se note.
Ejemplo resuelto: riesgos del DNS y su defensa
| Riesgo | Qué pasa | Defensa |
|---|---|---|
| Espiar | Quien está en el camino ve los nombres consultados | Cifrar la consulta (TLS o HTTPS) |
| Falsificar | Alguien contesta una dirección falsa antes que el servidor | Firmar las respuestas (DNSSEC) |
| Redirigir | El equipo usa un servidor DNS puesto por un atacante | Fijar el servidor DNS de confianza |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.