Lo que la versión no te da sola

Un servicio de CifraLab negocia TLS con conjuntos de algoritmos que no dan secreto hacia adelante: la clave de sesión depende directamente de la clave privada del servidor. Mientras esa privada no se filtre, bien; pero si alguien capturó el tráfico cifrado y más adelante consigue la clave privada del servidor, puede descifrar hacia atrás toda la conversación que guardó. El secreto hacia adelante lo evita: con conjuntos que pactan una clave de sesión efímera —distinta por conexión y que no se puede reconstruir desde la clave del servidor—, robar la privada mañana no abre el tráfico de hoy. El arreglo es preferir conjuntos con intercambio efímero (los de TLS 1.3 lo son por diseño) y retirar los que no dan secreto hacia adelante.

El fallo no se ve hoy: se ve el día que la clave del servidor se filtra y el tráfico viejo capturado se vuelve legible.

Otro servicio sirve bien por HTTPS, pero no hace nada para impedir que a un cliente lo lleven a la versión sin cifrar. Si el usuario escribe la dirección sin https://, o alguien en medio reescribe los enlaces, la primera conexión puede irse por HTTP en claro, y ahí ya se interceptó todo antes de que TLS entrara en juego. La defensa es declarar que el sitio solo se habla por HTTPS, de modo que el navegador recuerde forzar TLS en las siguientes visitas y no acepte caer a HTTP, y redirigir en el servidor cualquier HTTP a HTTPS. El arreglo es activar esa política de solo-HTTPS y la redirección, para que no exista un primer salto en claro que aprovechar.

El fallo es dejar abierta la puerta de atrás: TLS perfecto no sirve si al cliente se le cuela una conexión sin cifrar antes de usarlo.

Para no rehacer el saludo completo en cada visita, TLS permite reanudar sesiones con un material que el servidor emite y luego reconoce. En CifraLab ese material se protege con una clave de reanudación que lleva años sin rotarse. El problema es que esa clave de larga vida vuelve a concentrar el riesgo que el secreto hacia adelante quería repartir: quien la obtenga puede descifrar las sesiones reanudadas con ella, de nuevo hacia atrás. Las claves que cifran el material de reanudación son de vida corta y se rotan con frecuencia —a menudo cada pocas horas—, y las viejas se descartan. El arreglo es rotar esas claves de reanudación con regularidad en vez de dejar una fija para siempre.

Es el secreto hacia adelante otra vez, por la puerta de la reanudación: una clave eterna deshace la protección que los conjuntos efímeros daban.

Viste el secreto hacia adelante, la defensa contra la bajada a HTTP y la rotación de las claves de reanudación: lo que una versión moderna de TLS no resuelve por sí sola. Abre el laboratorio, recorre esas tres configuraciones y lee el código que la auditoría anotó al cerrar la sala.