TLS — qué se sigue viendo cifrado

Cuando un cliente abre una conexión cifrada, lo primero que manda —todavía en claro— es el nombre del servidor con el que quiere hablar (el SNI). Ese nombre no se cifra, así que aunque el contenido de la sesión sea ilegible, tú siempre sabes a qué sitio se conectó cada equipo. Es uno de los datos más útiles del análisis defensivo: la lista de nombres pedidos es la lista de sitios visitados.

Un nombre largo, sin sentido y que no se parece a ninguno de los dominios de la empresa ni a un servicio conocido es exactamente lo que hay que aislar de esa lista.

Cifrar protege el contenido de la conversación, no sus metadatos. Con TLS y sin descifrar nada sigues viendo: el nombre del servidor pedido, la huella de cómo el cliente negocia el cifrado (JA3), la dirección de destino y el volumen y ritmo del tráfico. Con eso basta para reconocer un canal que no encaja. Lo que NO ves es el usuario, la contraseña o el archivo que viaja dentro.

Confundir «va cifrado» con «es invisible» es el error que hace que un analista novato se rinda antes de mirar.

La forma exacta en que un cliente propone cifrar deja una huella (JA3) que depende del programa que abre la conexión, no de la web a la que va. Un navegador normal genera una huella; una herramienta escrita para «llamar a casa» genera otra, y la repite idéntica en cada llamada. Cuando la misma huella poco común aparece una y otra vez hacia un destino raro, tienes un hilo del que tirar aunque no puedas leer ni un byte del contenido.

La huella no acusa por sí sola —programas legítimos también las tienen—, pero una huella rara y repetida hacia un sitio raro es una coincidencia que merece explicación.

Hasta aquí decidiste dónde mirar, dimensionaste, filtraste y reconociste protocolos y huellas. La verificación del módulo no se aprueba leyendo: se aprueba sacando un dato de la captura. Vuelve a la captura de Ventura y aísla el equipo que lanza señales de apertura a muchos puertos distintos sin recibir respuesta —la silueta de un barrido—. El paquete que cierra ese barrido lleva anotado un código de la sala.