SNI, versiones y suites de cifrado

Antes de cifrar nada, cliente y servidor se saludan en claro. El cliente propone versiones y suites y, normalmente, dice a qué nombre de servidor se dirige (SNI), para que una misma dirección pueda servir muchos sitios. El servidor elige. Con eso, el sensor puede registrar nombre pedido, versión acordada y suite elegida sin descifrar una sola letra.

Hay límites. Con TLS 1.3 el certificado del servidor ya viaja cifrado, y existe además una extensión llamada Encrypted Client Hello que busca cifrar también el nombre pedido; donde se despliega, el SNI deja de verse. Eso hace que «no veo SNI» tenga dos lecturas: el cliente no lo pidió, o está protegido. Antes de concluir nada, hay que saber cuál de las dos es en esa red.

Una política de cifrado dice cosas medibles: la versión mínima que se acepta y las suites que no. Con el registro de TLS, leer cumplimiento es una comparación fila a fila. Las versiones antiguas, TLS 1.0 y 1.1, fueron retiradas por el organismo de estándares de internet, y suites con 3DES o RC4 se consideran débiles; que sigan apareciendo en una red es un hallazgo de higiene.

Abre el registro y la política de Litografía Calicanto. Busca el equipo cuya sesión negocia una versión por debajo del mínimo.

Que una sesión incumpla la política no la vuelve un ataque. Muchos aparatos industriales y de oficina llevan firmware que no se actualiza, y su tráfico viejo es constante y repetido. Lo que cuenta es si alguien lo sabe: una excepción aprobada por escrito, con motivo y fecha de vencimiento, cambia el hallazgo de «sorpresa» a «riesgo aceptado y en plan de retiro».

Mira la tabla de excepciones del laboratorio y relaciona la fila con la sesión que acabas de encontrar.

El cliente primero consulta el DNS de un nombre y luego se conecta a la dirección que recibió. Si el nombre que anuncia en el saludo de TLS no es el que consultó, algo no cuadra. Casos legítimos existen (una red de contenidos que sirve varios nombres desde una dirección compartida), pero cuando un equipo resuelve un sitio desconocido y conecta a esa dirección pidiendo el nombre de un servicio de actualizaciones conocido, el nombre pedido parece escogido para pasar desapercibido.

Compara la tabla de DNS con el registro de TLS y busca la dirección a la que un mismo equipo conecta con un SNI que no corresponde a lo que resolvió.

Una discrepancia única puede ser un error; repetida se vuelve un patrón. Para el informe, cuenta cuántas sesiones de ese equipo presentan la discrepancia y anota la regularidad entre ellas. Eso convierte «vi algo raro» en «tres sesiones en veinte minutos de diferencia hacia la misma dirección».