Como ya sabréis, ha entrado ya en funcionamiento TLS 1.3. Pero, ¿que es TLS y para que sirve?. y lo mas importante, ¿ que diferencias hay entre la version 1.2 y la 1.3?.
Empezaremos explicando en que consiste TLS para todos aquellos que no lo sepáis. Transport Layer Security
(TLS) es el método del que disponemos para darle seguridad a nivel de capas de transporte, es decir, el protocolo criptográfico que
garantiza las comunicaciones en Internet.
Vamos a poner un ejemplo para que lo entendáis. Imaginaos que estáis navegando y queréis comprar algo online, entráis en la web y empezais a comunicaros con ella. Le solicitáis productos hasta que encontráis el que queréis. Acto seguido confeccionais vuestro carrito y pasáis a gestionar el pago hasta la confirmación de compra.
En este ejemplo, TLS se encarga de encriptar toda esa comunican que mantenéis con la web, ¿porque? porque si un agente malicio intercepta el trafico, si no esta encriptada, podría obtener todos vuestros datos personales así como bancarios al realizar la compra.
Con un programa como el que veis en la imagen (Wireshark) se podría interceptar el trafico y obtener dichos datos si no van encriptados.
Una vez que tenemos claro que deben ir encriptadas las comunicaciones, es necesario conocer los agentes que interfieren en este proceso para entender como funciona:
- El protocolo de autenticación (llamado TLS Record
Protocol).
- El de mutuo acuerdo Handshake
Protocol.
- Record: negocia la encriptación y la integridad
del emisor-receptor.
- Handshake: se negocia el mensaje de
manera segura. En cada mensaje se especifica el protocolo en un campo (llamado content_type)
y se cifra y empaqueta con un código de autentificación.
Por lo tanto, en el protocolo TLS, se lleva a
cabo un canal seguro y cifrado entre cliente y servidor en donde se negocia
la criptografía del mensaje, se autentifican las claves del
cifrado y se realiza una transmisión segura.
Pasemos a verlo con un ejemplo:
El usuario se comunica con el servidor, se dice quien es y le solicita que se identifique, el servidor se identifica y le pregunta al usuario que certificado de encriptacion tiene, el server lo comprueba y empieza la comunicación.
En muchas ocasiones, no es posible obligar al usuario a tener un certificado concreto, por ejemplo TLS1.2, porque si su navegador no lo permite porque es muy antiguo, dejaríamos sin servicio a ese usuario. El hecho que el server compruebe que certificado tiene el usuario instalado, y vaya macheando con los que el tiene, se llama FallBack.
Para mitigar vulnerabilidades asociadas a las versiones de TLS, van actualizando el protocolo de transporte, y es por eso que ha entrado ya en vigor la versión 1.3 donde corrigen vulnerabilidades, entre otras las relacionadas con el Fallback pero también añaden mas capas de seguridad a TLS.
A continuación os dejo un vídeo donde explica y resume las implementaciones nuevas en TLS 1.3. Esta muy bien explicado ya que os compara TLS 1.2 y TLS 1.3 para que se vea clara la diferencia.
https://www.youtube.com/watch?v=eTJjMGClri4
Espero que os guste la entrada o que al menos os haya quedado algo mas claro en que consiste TLS.
