El tráfico cifrado y lo que el sensor no ve

Cuando una conexión va cifrada con TLS, un sensor pasivo ve metadatos: las direcciones y los puertos, el tamaño y el ritmo de los paquetes, la versión del protocolo negociada y, en general, el nombre del servidor al que se pide la conexión. En TLS 1.3 el certificado del servidor ya viaja cifrado, y el nombre del servidor puede ocultarse también si se usa la extensión que lo cifra.

Lo que no ve es el contenido: las rutas, las cabeceras y los datos. Una regla que busca algo dentro de una petición web no puede coincidir con una petición que no puede leer. Que no avise no significa que no pasara nada.

Para saber cuánto confiar en un sensor de contenido hay que saber qué fracción del tráfico le llega cifrada. Se calcula con el volumen: los megabytes diarios de los flujos cifrados entre el total, por cien.

Consulta volumen y calcula el porcentaje cifrado del total diario.

Descifrar el tráfico para inspeccionarlo es posible solo en puntos donde el equipo actúa como intermediario de la conexión, y exige almacenar y proteger la clave con que lo hace. Por eso es una decisión de política y no un ajuste del sensor: hay categorías que no se descifran porque el contenido es personal o sensible, y esa excepción la aprueba quien responde por ese riesgo.

Consulta politica_de_descifrado. Una de las categorías excluidas la aprobó el área jurídica.

Aun sin descifrar, los metadatos sirven para el trabajo del perímetro. Uno de los más útiles es la versión del protocolo: las versiones antiguas de TLS están retiradas por sus debilidades, y verlas en un flujo interno es un hallazgo que se arregla en el servidor, no en el sensor.

Consulta tls_observado. Uno de los flujos usa una versión retirada.

Cuando la política decide descifrar, hay tres lugares posibles: el propio servidor, que ya termina la conexión y puede pasar su tráfico en claro a la inspección; un equipo intermediario dedicado; o el sensor. Descifrar en el sensor lo convierte en intermediario de las conexiones y lo carga con las claves. Por eso, donde hay un servidor propio, lo habitual es inspeccionar el contenido en claro después de que el servidor lo descifre.