Certificados de Seguridad y SSL.

(Secure Socket Layers)

Cuando se necesita utilizar SSL
El protocolo HTTP (el encargado de servir pginas web) es por naturaleza inseguro, toda la
informacin que intercambia el servidor con sus clientes viaja en texto plano, lo que
implica que cualquiera que intercepte la comunicacin (cosa relativamente sencilla de
hacer). Pero aunque nuestros datos viajen cifrados por la Red, si los estamos enviando a
(los recibimos de) un impostor, no saldremos mucho mejor parados. Se hace
imprescindible el contar con un mecanismo que d fe de si un servidor seguro es quien
creemos que es y podemos confiar en l a la hora de transmitirle nuestra informacin. La
forma como se hace es mediante las Autoridades de Certificacin (AC), conocidas
informalmente como notarios electrnicos, encargadas de autenticar a los participantes en
transacciones y comunicaciones a travs de la Red. Su funcin es emitir certificados a los
usuarios, de manera que se pueda estar seguro de que el interlocutor (cliente o servidor) es
quien pretende ser, garantizando as la seguridad de las transacciones.
Se necesitar utilizar SSL en cualquier servidor web en el que necesitemos encriptar la
informacin que se envia y se recibe del cliente, es decir en los casos que informacin
privada deber ser transmitida como en:

Tiendas electrnicas que acepta pagos por medio de tarjetas de crdito en

linea.

Cuando socios comerciales acceden informacin confidencial en una

extranet.

Existen instalaciones que se comparte informacin confidencial mediante

una intranet.

Cuando se procesan datos confidenciales como direcciones, fechas de

nacimiento o nmeros de licencia o identificacin.

Se necesita cumplir normativas de seguridad y confidencialidad.

El certificado de seguridad se concede a una entidad despus de comprobar una serie de
referencias, para asegurar la identidad del receptor de los datos cifrados. Se construye a
partir de la clave pblica del servidor solicitante, junto con algunos datos bsicos del
mismo y es firmado por la autoridad de certificacin correspondiente con su clave privada
Clave privada y clave pblica de confidencialidad.
Los certificados SSL contienen una clave pblica y otra privada. La clave pblica se utiliza
para cifrar la informacin y la privada para descifrarla. Cuando un navegador se dirige a un
dominio seguro, se produce una presentacin SSL que autentica al cliente y el servidor y
establece un mtodo de cifrado y una clave de sesin nica. Entonces pueden comenzar
una sesin segura que garantiza la privacidad e integridad del mensaje.
Jams se descubra en Internet
Sin el cifrado SSL, los paquetes de informacin son totalmente visibles cuando viajan por
las redes. Imagine que enva cartas por Correo en un sobre transparente. Cualquiera que
tenga acceso a l podr ver los datos. Si parece valiosa, pueden tomar o modificar esta
informacin.
Sin la verificacin de una tercera parte, cmo puede saber que un sitio Web realmente es
el representante del negocio en el que confa? Todos los certificados SSL se han creado
para un servidor particular en un dominio especfico y para una entidad comercial
comprobada. Al igual que un pasaporte o un permiso de conducir, los certificados SSL los
emite una autoridad de confianza. Cuando se produce la presentacin SSL, el navegador

exige al servidor que se autentique. Si la informacin no coincide o el certificado ha

vencido, el navegador mostrar un mensaje de error.
En la prctica, sabremos que el servidor es seguro porque en nuestro navegador veremos
una llave
o un candado cerrado en la parte izquierda, si usamos Mozilla, o bien un
candado cerrado en la parte derecha , si usamos el Explorer.
Advertencia: Una llave entera o un candado cerrado no garantizan una comunicacin
segura. Es necesario comprobar el certificado.
Otro cambio importante es el identificador de protocolo en la URL, que vara ligeramente:
ya no empieza con http, sino con https.
No todos los tipos de cifrados son iguales
Si no ha instalado un certificado con SGC, los visitantes de su sitio Web que utilicen
Windows 2000 y ciertas versiones antiguas de navegadores slo recibirn cifrado de 40
56 bits.
El cifrado de 128 bits ofrece 288 veces ms combinaciones que el cifrado de 40 bits. Por lo
tanto, es ms de un billn de billones de veces ms potente.

El Futuro de los Certificados de Seguridad.

Qu es SSL de alta seguridad?
Los certificados SSL de alta seguridad interactan con navegadores Web de alta seguridad
e identifican claramente la identidad de la organizacin y su sitio Web. Por ejemplo, si
utiliza Internet Explorer 7.0 para acceder a un sitio Web asegurado con un certificado SSL
que cumpla el estndar de alta seguridad, la barra de direcciones aparecer en color verde.
Un cuadro junto a la direccin URL alternar la vista del nombre de la organizacin y la
autoridad emisora del certificado SSL. (VeriSign, por ejemplo). Las versiones anteriores de
los navegadores mostrarn los certificados SSL de alta seguridad con los mismos smbolos
que los certificados SSL actuales.

Qu es el estndar de alta seguridad?

Para adquirir un certificado SSL de alta seguridad, una organizacin debe someterse a un

proceso de validacin y cumplir los estndares de alta seguridad establecidos por el

CA/Browser Forum (que en breve se publicarn). Adems de confirmar la propiedad de un
nombre de dominio, el proceso tambin comprueba la autoridad de la persona de contacto
que solicita el certificado, la autenticidad de la empresa con organismos pblicos, registros
empresariales y otros medios.
Cmo pueden los certificados SSL de alta seguridad aumentar la confianza de los
consumidores?
Los usuarios utilizan la Web para realizar transacciones comerciales y actividades sociales
y comparten informacin personal y confidencial. Los ataques de phishing y los incidentes
de fraude a empresas influyentes han provocado que los usuarios de Internet estn ms
preocupados por los robos de identidad. Antes de introducir los datos, los usuarios buscan
una prueba de que pueden confiar en el sitio Web y que su informacin se va a cifrar. Sin
esa prueba, cabe la posibilidad de que abandonen la transaccin y busquen otros sitios
para ello. Los navegadores de alta seguridad y los certificados SSL de alta seguridad
ofrecen verificacin de terceras partes mediante una indicacin visual clara, que aumenta
la confianza de los clientes en las transacciones comerciales en lnea.
Qu beneficios aportan los SSL de alta seguridad a los propietarios de un sitio Web?
Un certificado SSL de alta seguridad ayuda a sus clientes a completar transacciones
seguras con total confianza y coloca a su organizacin en una posicin de liderazgo. Si su
sitio tiene la "barra verde" en IE 7.0 y el de su competidor no, su empresa dar una
apariencia de mayor confianza y legitimidad. Este hecho es una ventaja competitiva en el
comercio electrnico. Para empresas con marcas importantes, el uso de un certificado SSL
de alta seguridad es una forma efectiva de defenderse de ataques de phishing. Cuando los
clientes vean la barra verde y otras marcas de confianza, podrn realizar transacciones
comerciales en lnea con su empresa, con total confianza.
Cundo se podrn adquirir los certificados SSL de alta seguridad?
Los certificados SSL de alta seguridad no estn an a la venta en ninguna autoridad
emisora de certificados (CA). El CA/Browser Forum, un grupo que engloba a las
principales autoridades emisoras de certificados (CA) y a los distribuidores de navegadores
Web, est definiendo una prctica estndar de validacin de certificados y un mtodo de
visualizacin comn. Una vez aprobados estos estndares, las CA que adopten las nuevas
prcticas de seguridad debern superar una auditora de WebTrust. Slo entonces podrn
emitir certificados SSL de alta seguridad.
Dnde puedo adquirir un certificado SSL de alta seguridad?
Los certificados SSL de alta seguridad se podrn adquirir de autoridades emisoras de
certificados que hayan adoptado el estndar de alta seguridad y superado las auditoras de
WebTrust. Para confirmar la autenticidad de un distribuidor de certificados SSL de alta
seguridad, consulte su normativa del proceso de certificacin y las auditoras de WebTrust.

Detalles tcnicos de Secure Socket Layer (SSL)

El protocolo SSL es un sistema diseado y propuesto por Netscape Communications

Corporation. Se encuentra en la pila OSI entre los niveles de TCP/IP y de los protocolos
HTTP, FTP, SMTP, etc. Proporciona sus servicios de seguridad cifrando los datos
intercambiados entre el servidor y el cliente con un algoritmo de cifrado simtrico,
tpicamente el RC4 o IDEA, y cifrando la clave de sesin de RC4 o IDEA mediante un
algoritmo de cifrado de clave pblica, tpicamente el RSA. La clave de sesin es la que se
utiliza para cifrar los datos que vienen del y van al servidor seguro. Se genera una clave de
sesin distinta para cada transaccin, lo cual permite que aunque sea reventada por un
atacante en una transaccin dada, no sirva para descifrar futuras transacciones. MD5 se
usa como algoritmo de hash.
Proporciona cifrado de datos, autenticacin de servidores, integridad de mensajes y,
opcionalmente, autenticacin de cliente para conexiones TCP/IP.
Cuando el cliente pide al servidor seguro una comunicacin segura, el servidor abre un
puerto cifrado, gestionado por un software llamado Protocolo SSL Record, situado encima
de TCP. Ser el software de alto nivel, Protocolo SSL Handshake, quien utilice el Protocolo
SSL Record y el puerto abierto para comunicarse de forma segura con el cliente.

El Protocolo SSL Handshake

Durante el protocolo SSL Handshake, el cliente y el servidor intercambian una serie de
mensajes para negociar las mejoras de seguridad. Este protocolo sigue las siguientes seis
fases (de manera muy resumida):

La fase Hola, usada para ponerse de acuerdo sobre el conjunto de algoritmos para
mantener la intimidad y para la autenticacin.
La fase de intercambio de claves, en la que intercambia informacin sobre las
claves, de modo que al final ambas partes comparten una clave maestra.
La fase de produccin de clave de sesin, que ser la usada para cifrar los datos
intercambiados.
La fase de verificacin del servidor, presente slo cuando se usa RSA como
algoritmo de intercambio de claves, y sirve para que el cliente autentique al servidor.
La fase de autenticacin del cliente, en la que el servidor solicita al cliente un
certificado X.509 (si es necesaria la autenticacin de cliente).
Por ltimo, la fase de fin, que indica que ya se puede comenzar la sesin segura.

El Protocolo SSL Record

El Protocolo SSL Record especifica la forma de encapsular los datos transmitidos y
recibidos. La porcin de datos del protocolo tiene tres componentes:

MAC-DATA, el cdigo de autenticacin del mensaje.

ACTUAL-DATA, los datos de aplicacin a transmitir.
PADDING-DATA, los datos requeridos para rellenar el mensaje cuando se usa
cifrado en bloque.