Inspección de TLS y sus implicaciones

Con la inspección activa, el proxy termina la conexión cifrada de la persona, la lee, y abre otra conexión cifrada hacia el sitio. Para que el navegador no avise de un certificado falso, el proxy presenta certificados que firma una autoridad certificadora (CA) propia de la empresa, y esa CA tiene que estar instalada como de confianza en cada equipo. Sin ella, cada sitio daría un error; con ella, el proxy ve el contenido en claro durante un instante.

Eso explica las dos consecuencias que conviene tener claras. La primera, que el proxy pasa a ser un punto con acceso a contraseñas y datos personales en claro, y hay que protegerlo y limitar quién ve sus registros. La segunda, que la CA propia es muy valiosa: quien robe su clave privada puede emitir certificados que los equipos de la empresa aceptan.

Que se pueda inspeccionar no significa que se deba. Hay categorías donde mirar el contenido es desproporcionado: lo que las personas hacen con su dinero, con su intimidad o en sus trámites con el Estado es de ellas, aunque lo hagan desde un equipo de la empresa. Por eso las políticas serias fijan una lista de categorías que se dejan pasar sin inspeccionar; el proxy sigue viendo el dominio, pero no el contenido.

Compara en criterio la lista de categorías que no se inspeccionan con lo que dice politica_tls.

Algunas aplicaciones no confían en el almacén de certificados del sistema: traen incorporado el certificado que esperan del servidor, lo que se llama fijación de certificado (pinning). Es una defensa legítima contra intermediarios, y por lo mismo la inspección las rompe. La solución no es desmontar la defensa de la aplicación sino dejar ese dominio fuera de la inspección con una excepción que lleve dueño y vencimiento. Otros fallos tienen una causa más sencilla, como un equipo al que nunca se le instaló la CA.

Lee fallos: la columna causa_documentada distingue una causa de la otra.

Un equipo sin la CA de la empresa no puede navegar por sitios inspeccionados sin errores, y la tentación de quien lo atiende es pedir que «acepte el aviso y siga». Eso entrena a la gente a ignorar los avisos de certificado, que es justo lo que un atacante necesita. Lo correcto es instalar la CA donde corresponde o dejar al equipo fuera de la inspección.

Cuenta en confianza_ca los equipos que no la tienen.

Inspeccionar el tráfico de las personas es tratar datos personales. Antes de activarlo, una empresa ordenada deja por escrito la política, informa a las personas usuarias, limita quién accede a lo que se descifra y consulta al área jurídica sobre la normativa de protección de datos que le aplique (en Colombia, la Ley 1581 de 2012, que exige entre otras cosas una finalidad legítima informada al titular). Esta sala no es asesoría legal: enseña a comprobar que esos pasos estén hechos y escritos, que es lo que una revisión mira.

Lee la ficha_autorizacion: cada requisito tiene su estado.