HTTP y TLS, lo que queda a la vista

En HTTP en claro el sensor guarda lo que cada petición dice de sí misma: el método (GET, POST), la ruta, la cabecera Host, el agente de usuario y el código de estado. En una conexión TLS no se lee nada de eso: queda la dirección de destino, el nombre que el cliente pide en el saludo (el SNI, cuando va), la versión, la huella con la que el cliente se presenta, los datos del certificado y cuántos bytes fueron en cada sentido.

Con eso se puede describir y reconocer una conversación sin descifrarla. Lo que no se puede es afirmar qué contenía.

El agente de usuario es el texto con el que un programa se presenta en HTTP. Un navegador usa uno largo y conocido; un programa a medida suele traer uno propio, corto, que casi nadie más usa. Como indicador es barato y duradero: se puede buscar en registros de proxy de toda la empresa. Su límite es que quien lo escribe puede cambiarlo, así que se anota con la confianza que tiene.

Abre SELECT * FROM http_log. Hay una cadena que aparece en las peticiones a soporte-lotes.example y también en la consulta a un servicio genérico de comprobación de dirección: el mismo programa llamó a los dos.

Aunque la sesión vaya cifrada, el saludo del cliente tiene una forma propia: qué versiones ofrece, qué algoritmos y en qué orden. Esa forma se resume en una huella de cliente que identifica la biblioteca y la configuración del programa que llama, no al servidor. Dos programas distintos pueden compartirla y un mismo programa puede cambiarla; por eso es un indicador de confianza media. En el laboratorio las huellas son marcadores escritos a mano, HUELLA-TLS-NN.

Abre SELECT * FROM tls_log y compara la columna huella_cliente de la descarga del sistema con las de las sesiones hacia la dirección sospechosa.

El certificado de la sesión de soporte-lotes.example está autofirmado por el propio nombre y tiene validez de apenas un mes, que empezó el día antes de la captura. La descarga del sistema, en cambio, lleva uno emitido por una autoridad pública y de un año.

Eso no es una prueba: hay servicios internos legítimos con certificados propios. Es un dato que sube o baja la sospecha según lo que lo rodea, y se anota como tal.

En una sesión cifrada los bytes enviados y recibidos sí se ven. Una sesión que envía mucho más de lo que recibe es una subida; una que recibe mucho más es una descarga. En tls_log, la sesión con el nombre soporte-lotes.example en el saludo envió un volumen concreto. Otras sesiones hacia la misma dirección van sin nombre en el saludo, así que no valen para esta pregunta.