SSL. Secure Sockets Layer

Transcripción

1 SSL Secure Sockets Layer 1

2 Certificado Digital Documento digital que verifica que una llave pública pertenece a una determinada persona o entidad. Criptografía de clave pública. Firma digital. Elementos confiantes. 2

3 Certificados X.509 Nombre de la persona. Nombre del emisor. La clave publica de la persona. La firma digital del emisor. Periodo de validez. Número de serie del certificado. 3

4 Autoridades Certificadoras Problema: No sabemos si el certificado es de quien dice ser. Soluciones: Redes de confianza (PGP). Autoridades de certificación. Una autoridad de certificación (CA) es u organismo encargado de verificar y garantizar que un certificado pertenece a su legitimo dueño. 4

5 5

6 Tipos de certificados. Comprobación: Clase1. Nombre, dirección y correo electrónico. Clase 2. Permisos de conducir, Identidad, fecha nacimiento, pasaporte. Clase 3. Comprobación de crédito de persona empresa. Clase 4. Cargo de persona en una organización (en estudio). 6

7 Tipos de certificados. Finalidad: Certificados SSL para el cliente. Identifica a un cliente frente a un servidor. Certificados SSL para servidor. Identifica a un servidor frente a un cliente. Certificados S/MIME. Firmado y cifrado de correo electrónico. Certificado de firma de objetos. Firmado de ejecutables o porciones de código. Certificados para CAs. Identifica a una CA frente a otra CA o RA. 7

8 Chile Acepta.com e-certchile.cl cnc-once.cl e-sign.cl certinet.cl 8

9 SSL Década de los 90 Netscape crea SSL. Protocolo criptográfico que proporciona: Confidencialidad. Autenticidad. Cliente/Servidor Integridad. Utiliza cifrado simétrico y asimétrico. Transparencia capas superiores (TCP). 9

10 Comunicación Segura. SSL Handshake protocol. Parámetros de seguridad. SSL Record protocol. Encapsular. 10

11 Handshake. 1. Cliente: Envía mensaje ClientHello. - Especifica versión mas alta del protocolo. - Un numero aleatorio. - Algoritmos de autenticación, cifrado. - MAC (Message Authentification Code) - Algoritmos de compresión. 11

12 SSL Handshake 2. El Servidor: - Responde con un mensaje ServerHello. - Se indica la versión del protocolo (soportada). - Numero aleatorio. - Algoritmos y certificado digital (Certificate). 12

13 SSL Handshake. 3. El cliente: - Verifica el certificado PKI. - ClientKeyExchange contiene PreMasterSecret (numero secreto) 13

14 SSL Handshake. 4. El cliente y el servidor: - El servidor utiliza su clave privada. - Secreto común, Master secret. 14

15 SSL Handshake. El cliente/servidor: Registro Change CipherSpec. Toda la información será autenticada y si lo estableció el servidor, cifrada. Mensaje finished firmado y cifrado. Finaliza la fase de negociación. 15

16 SSL Handshake 16

17 Aplicaciones TLS/SSL TLS: Mejora SSL en la protección frente a nuevos ataques (nuevos algoritmos de cifrado, evita downgrade). Usos: Comercio electrónico y banca online. Securizar redes privadas virtuales. Autenticación y cifrado de datos VoIP. 17

18 Ataques TLS/SSL Implementación. DownGrade protocol. MD5 - SHA-1... SSLStrip. NULL. Common name. Man in the middle. HardCoded. 18

19 1.Crear dos llaves cifradas pública y privada. 2.Crear una solicitud de certificado basado en la clave pública. La solicitud de certificado contiene información sobre su servidor y la compañía que lo aloja. 3.Enviar la solicitud de certificado, junto con los documentos que prueban su identidad, a una CA. No podemos decirle qué autoridad de certificación elegir. Su decisión debe basarse en sus experiencias pasadas, o en las experiencias de sus amigos o colegas, o simplemente en factores económicos. 4.Una vez se haya decidido por una CA, necesita seguir las instrucciones que ésta le proporcione para obtener un certificado proveniente de ella. 5.Cuando la CA esté segura de que tiene todo lo que necesita de usted, le enviará un certificado digital. 6.Instale este certificado en su servidor seguro, y configure las aplicaciones apropiadas para usar el certificado. 19