Vc4 nm73 eq6-tls

INSTITUTO POLITÉCNICO NACIONAL UNIDAD PROFESIONAL INTERDISCIPLINARIA DE INGENIERÍA Y CIENCIAS SOCIALES Y ADMINISTRATIVAS

INTEGRANTES: Apolinar Crisóstomo Jessica Camacho Flores Sarahí Montserrat

Hernández González Ivonne Valeria Coordinador de equipoLozada Pérez Yareli Guadalupe

TEMAS: PROTOCOLO TLSFECHA DE EXPOSICIÓN: 13 DE NOVIEMBRE DE 2013

INTRODUCCIÓN:

En esta ocasión se llevará a cabo la investigación acerca del protocolo TLS, donde podremos explicar a detalle para que sirve este protocolo, la forma en que funciona, los objetivos, la seguridad que nos brinda, al igual que también las vulnerabilidades, que como sabemos todos los sistemas hechos por humanos siempre van a tener errores, y es de aquí donde las personas que siempre buscan realizar el mal robando la información personal para poder obtener beneficios propios.

ÍNDICE

HISTORIA PROTOCOLO TLSDESCRIPCIÓN DEL PROTOCOLO TLSOBJETIVO DEL PROTOCOLO TLSFUNCIONAMIENTO DEL PROTOCOLO TLSSEGURIDAD DEL PROTOCOLO TLSAUTORIDAD CERTIFICADORA (AC)CERTIFICADO DIGITAL SSL/TTLVERSIONAMIENTO DEL PROTOCOLO TLSMEDIDAS DE SEGURIDAD DEL PROTOCOLO TLSAPLICACIONES DEL PROTOCOLO TLSTRANSPORT LAYER SECURITY PARA EL CORREO ENTRANTERECOMENDACIONES

CAPITULADO.

HISTORIA PROTOCOLO TLS

Desarrollado por Netscape, SSL versión 3.0 se publicó en 1996, que más tarde sirvió como base para desarrollar TLS versión 1.0, un estándar protocolo IETF definido por primera vez en el RFC 2246. SSL opera de una manera modular: sus autores lo diseñaron extensible, con soporte para compatibilidad hacia adelante y hacia atrás, y negociación entre las partes





(peertopeer).Siendo el protocolo SSL 3.0 la versión más ampliamente difundida en la actualidad también ha sido sujeta de varias mejoras dando lugar al surgimiento por ahora delprotocolo TLS.En la actualidad está en vigencia la versión 1.1 referenciada en el RFC 43462, y en proceso de desarrollo la versión 1.2. TLS es un protocolo para establecer una conexión segura entre un cliente y un servidor, con capacidad de autenticar tanto al cliente como al servidor y crear unaconexión cifrada entre los dos. Este protocolo es utilizado de manera masiva para brindar seguridad a nivel de la capa de transporte, garantizando de esta manera autenticación y privacidad de la información entre extremos sobre Internet mediante el uso de criptografía.Visa, MasterCard, American Express y muchas de las principales instituciones financieras han aprobado el protocolo TLS, garantizando la seguridad en tendencias de comercio electrónico sobre Internet.

DESCRIPCIÓN DEL PROTOCOLO TLS

El protocolo TLS (Transport Layer Security) es una evolución del protocolo SSL (Secure Sockets Layer), es un protocolo mediante el cual se establece una conexión segura por medio de un canal cifrado entre el cliente y servidor. Así el intercambio de información se realiza en un entorno seguro y libre de ataques. El estándar está documentado en la referencia RFC 2246.Normalmente el servidor es el único que es autenticado, garantizando así su identidad, pero el cliente se mantiene sin autenticar, ya que para la autenticación mutua se necesita una infraestructura de claves públicas para los clientes.Este protocolo permite prevenir escuchas (eavesdropping), evitar la falsificación de la identidad del remitente y mantener la integridad del mensaje en una aplicación clienteservidor.

El protocolo TL S se basa en tres fases básicas:

Negociación: Los dos extremos de la comunicación (cliente y servidor) negocian quéalgoritmos criptográficos utilizarán para autenticar y cifrar la información. Actualmenteexisten diferentes opciones:

1. Para criptografía de clave pública: RSA, DiffieHellman, DSA (Digital SignatureAlgorithm).

2. Para cifrado simétrico: RC2, RC4, IDEA (International Data Encryption Algorithm),DES (Data Encryption Standard), Triple DES o AES (Advanced EncryptionStandard).

3. Con funciones hash: MD5 o de la familia SHA.





Autenticación y Claves: Los extremos se autentican mediante certificados digitales eintercambian las claves para el cifrado, según la negociación.

Transmisión Segura: los extremos pueden iniciar el tráfico de información cifrada yautenticada.

DIFERENCIAS ENTRE SSL Y TLS

El protocolo TLS está basado en las especificaciones de SSL. Las diferencias entre este protocolo y SSL no son grandes, pero sí suficientes para que TLS y SSL no puedan interoperar.

Las principales diferencias entre SSL 3.0 y TLS 1.1 son las siguientes:

a) En los mensajes Certificate Request y Certificate Verify del protocolo de Handshake. En SSL 3.0 sí el servidor solicita un certificado al cliente para que se autentique, este debe de responder con el o con un mensaje de alerta advirtiendo de que no lo tiene. En TLS 1.1 si el cliente no posee certificado no responde al servidor de ninguna forma a este requerimiento.

b) Cálculo de las claves de sesión. El mecanismo utilizado para construir las claves de sesión es ligeramente diferente en TLS 1.1.

c) TLS 1.1 no soporta el algoritmo de cifrado simétrico FORTEZZA que si es soportado por SSL 3.0. Esto es debido a que TLS busca ser íntegramente público mientras que

FORTEZZA es un algoritmo propietario.

d) TLS utiliza un mecanismo diferente y más seguro en el cálculo del MAC.

e) TLS 1.1 introduce nuevos códigos de alerta no contemplados por SSL 3.0

f) TLS 1.1 introduce un nuevo mecanismo en el relleno de los bloques para frustrar ataquesbasados en el análisis de la longitud de los mensajes.

A la vez presenta varias mejoras y extensiones para:

a) HTTP sobre el puerto 80 y HTTPS sobre el puerto 443

b) Nuevos Ciphersuites con cambios recientes en las regulaciones de exportación de US





permiten la exportación de software con capacidades de encriptación de datos con claves de 56 bits e intercambio de claves de hasta 1024 bits.

c) Soporte de Elliptic Curve Cryptosystems (ECC) con claves como: ECES (Elliptic Curve Encryption Scheme), ECDSA (Elliptic Curve Digital Signature Algorithm), ECNRA (Elliptic Curve NybergRueppel Signature Scheme with Appendix), ECDH (Elliptic Curve DiffieHellman Key Agreement), ECMQV (Elliptic Curve MenezesQuVanstone Key Agreement).

d) Incorporación de Kerberos Cipher Suites, las credenciales Kerberos se usan para llevar a cabo una autenticación mutua y para establecer un master secret usado subsecuentemente para asegurar la comunicación clienteservidor. La opción de Kerberos debe agregarse en el mensaje ClientKeyExchange.

e) Perfiles para Autorización usando Attribute Certificate, el X.509 AttributeCertificate provee una estructura con la cual se puede brindar tales servicios. Esta especificación define dos perfiles(uno simple y uno full) para el uso de X.509 AttributeCertificates al proveer los servicios de autorización

OBJETIVO DEL PROTOCOLO TLS

Los objetivos del protocolo son varios:

•Seguridad criptográfica. El protocolo se debe emplear para establecer una conexión segura entre dos partes.

•Interoperabilidad. Aplicaciones distintas deben poder intercambiar parámetros criptográficos sin necesidad de que ninguna de las dos conozca el código de la otra.

•Extensibilidad. El protocolo permite la incorporación de nuevos algoritmos criptográficos.

•Eficiencia. Los algoritmos criptográficos son costosos computacionalmente, por lo que el protocolo incluye un esquema de caché de sesiones para reducir el número de sesiones que deben inicializarse desde cero (usando criptografía de clave pública).

FUNCIONAMIENTO DEL PROTOCOLO TLS

El protocolo está dividido en dos niveles:

Protocolo de registro TLS (TLS Record Protocol).





El de más bajo nivel es el Protocolo de Registro, que se implementa sobre un protocolo de transporte fiable como el TCP. El protocolo proporciona seguridad en la conexión con dos propiedades fundamentales:• La conexión es privada. Para encriptar los datos se usan algoritmos de cifrado simétrico. Las claves se generan para cada conexión y se basan en un secreto negociado por otro protocolo (como el de mutuo acuerdo). El protocolo también se puede usar sin encriptación.• La conexión es fiable. El transporte de mensajes incluye una verificación de integridad.

Protocolo de mutuo acuerdo TLS (TLS Handshake Protocol).

El Protocolo de mutuo acuerdo, proporciona seguridad en la conexión con tres propiedades básicas:• La identidad del interlocutor puede ser autentificada usando criptografía de clave pública. Esta autentificación puede ser opcional, pero generalmente es necesaria al menos para uno de los interlocutores.• La negociación de un secreto compartido es segura.• La negociación es fiable, nadie puede modificar la negociación sin ser detectado por los interlocutores.

SEGURIDAD DEL PROTOCOLO TLS

TLS / SSL tienen una variedad de medidas de seguridad: Protección contra una rebaja del protocolo a una versión anterior (menos seguro) o una

suite de cifrado más débil. Numeración de los registros posteriores de las aplicaciones con un número de

secuencia y el uso de este número de secuencia en la autenticación de los códigos de mensajes (MAC).

Desde el punto de vista de seguridad, los SSL 3.0 deben ser considerados menos deseablesque el TLS 1.0 debido a que el cifrado SSL 3.0 tiene un proceso de derivación de clavesdébiles, la mitad de la clave maestra que se establece es totalmente dependiente de la funciónhash MD5, que no es resistente a las colisiones y, por tanto, no se considera seguro.





Existen dos herramientas muy completas para auditar la seguridad de SSL/TSL: SSLScan y SSL Audit.

SSLScan: Sirve para comprobar el tipo de cifrado SSL que utiliza un servicio. Es una herramienta para Linux que necesita el compilador GNU para C y la librería OpenSSL.

SSL Audit: Es otra herramienta para comprobar el tipo de cifrado SSL que incorpora posibilidades de Fingerprint para identificar el motor SLL del servidor.

Hardening SSLTLS

Harden SSL/TLS es una aplicación que permite mejorar la seguridad de SSL/TLS de las versiones de Windows 2000, 2003, 2008, 2008 R2, XP, Vista y 7. Esta aplicación permite establecer a nivel local y remoto, políticas basadas en permitir o denegar ciertos hashes o conjuntos de cifrado, establecer prioridades y modificar parámetros de la caché de sesión TLS.

Permite realizar políticas específicas de ajuste con respecto a los cifrados y a los protocolos que estén disponibles para aplicaciones que utilizan la interfaz SCHANNEL de criptografía, ya sean aplicaciones cliente o servidor. Una gran cantidad de aplicaciones de Windows utilizan esta interfaz, por ejemplo: Google Chrome, Safari, etc. Al cambiar la configuración indirectamente se puede controlar que cifrados pueden utilizar estas aplicaciones.

Hay que tener en cuenta que una aplicación puede solicitar un conjunto específico de sistemas de cifrado, y si se ha desactivado este conjunto ya no puede ser usado.

AUTORIDAD CERTIFICADORA (AC)

Una Autoridad Certificadora (AC, en inglés CA) es una entidad confiable que se encarga de garantizar que el poseedor de un certificado digital sea quien dice ser, brindando confianza a ambas partes de una comunicación segura SSL/TLS.

http://www.google.com/url?q=http%3A%2F%2Fsourceforge.net%2Fprojects%2Fsslscan%2F&sa=D&sntz=1&usg=AFQjCNG3pZQOOVGSzyXsrUOktCIeJvtlAw

http://www.google.com/url?q=http%3A%2F%2Fssl-audit.origo.ethz.ch%2F&sa=D&sntz=1&usg=AFQjCNFcud7vu-1JGODOzJOsJULDtW404w





CERTIFICADO DIGITAL SSL/TTL

Es un documento digital único en el cual un tercero confiable EC (Entidad Certificadora) garantiza la vinculación entre una persona o entidad con su llave pública.

Contiene información de su propietario como nombre, dirección, correo electrónico, organización a la que pertenece y su llave pública, así como información propia del certificado por mencionar: periodo de validez, número de serie único, nombre de la AC que emitió, firma digital de la AC cifrada con su llave privada y otros datos más que indican cómo puede usarse ese certificado.

Instalando el Certificado Digital el servidor apache proporcionará automáticamente la información sobre la web al navegador de cualquier cliente si este está verificado y confirmado por una EC (Entidad Certificadora) o tercero confiable ésta confirmará que el certificado es válido y garantizará la veracidad de los datos. Además toda comunicación se realizará a través del canal seguro que nos proporciona SSL garantizando la confidencialidad, autenticidad y privacidad de los datos.

Existen tres condiciones para que el certificado sea válido y por lo tanto aceptado por la mayoría de navegadores. De no cumplirse estas tres condiciones el navegador alertará de la invalidez del certificado y en muchos casos recomendará al usuario abandonar la conexión.

El nombre común CN (Common Name) debe coincidir con la dirección URL que el usuario teclea en su navegador

Es certificado debe estar firmado por una EC (Entidad Certificadora) en la que el browser o navegador del cliente haya depositado su confianza

Las fechas de validez del certificado debe corresponder con las actuales.

VERIFICACIÓN DE VALIDEZ DEL CERTIFICADO





Una vez que el navegador tiene el certificado del sitio web, realiza algunas verificaciones antes de confiar en el sitio:

Integridad del certificado: Verifica que el certificado se encuentre íntegro, esto lo hace descifrando la firma digital incluida en él mediante la llave pública de la AC y comparándola con una firma del certificado generada en ese momento, si ambas son iguales entonces el certificado es válido.

Vigencia del certificado: Revisa el periodo de validez del certificado, es decir, la fecha de emisión y la fecha de expiración incluidos en él.

Verifica emisor del certificado: Hace uso de una lista de Certificados Raíz almacenados en tu computadora y que contienen las llaves públicas de las ACs conocidas y de confianza. Puedes acceder a esta lista desde las opciones avanzadas de tu navegador web (en este caso usamos Google Chrome).

Con base a esta lista, el navegador revisa que la AC del certificado sea de confianza, de no serlo, el navegador mostrará una advertencia indicando que el certificado fue emitido por una entidad en la cual no confía.

VERSIONAMIENTO DEL PROTOCOLO TLS

El protocolo TLS ha evolucionado desde la versión 1.0 hasta la actual versión que es la 1.1. Esta última versión es muy parecida a la versión anterior (TLS 1.0), pero la principal diferencia es la modificación del formato para cifrado RSA anterior al uso de 'master secret', que es parte del mensaje de intercambio de claves del cliente. En TLS 1.0 se usaba la versión 1.5 del estándar RSA para criptografía de clave pública (PCK#1), pasando a usar ahora la versión 2.1. Con este cambio se consigue protección ante ataques descubiertos por Daniel Bleichenbacher que podían lanzarse contra servidores TLS 1.0, usando PKCS#1 versión 1.5. También se incluyen recomendaciones para evitar ataques remotos programados. TLS 1.1 está actualmente implementado en el navegador Opera y en GnuTL

MEDIDAS DE SEGURIDAD DEL PROTOCOLO TLS

http://www.google.com/url?q=http%3A%2F%2Fwww.monografias.com%2Ftrabajos2%2Fmercambiario%2Fmercambiario.shtml&sa=D&sntz=1&usg=AFQjCNEeRBzILgheBfyAUYkRgAWLDcDlvg





Numera todos los registros y usa el número de secuencia en MAC. Usa un resumen de mensaje mejorado con una clave (de forma que sólo con dicha clave

se pueda comprobar el MAC). Protección contra varios ataques conocidos (incluyendo ataques maninthemiddle),

como los que implican un degradado del protocolo a versiones previas (por tanto, menos seguras), o conjuntos de cifrados más débiles.

El mensaje que finaliza el protocolo handshake (Finished) envía un hash de todos los datos intercambiados y vistos por ambas partes.

La función pseudo aleatoria divide los datos de entrada en 2 mitades y las procesa con algoritmos hash diferentes (MD5 y SHA), después realiza sobre ellos una operación XOR. De esta forma se protege a sí mismo de la eventualidad de que alguno de estos algoritmos se tornan vulnerables en el futuro.

APLICACIONES DEL PROTOCOLO TLS

El protocolo SSL/TLS tiene multitud de aplicaciones en uso actualmente. Una de las más populares es la biblioteca openssl, escrita en C y disponible bajo licencia GNU. Incluye todas las versiones del SSL y el TLS y un gran número de algoritmos criptográficos, algunos de los cuales ni tan sólo son empleados en el estándar TLS.

La mayoría de ellas son versiones seguras de programas que emplean protocolos. Hay versiones seguras de servidores y clientes de protocolos como el http, nntp, ldap, imap, pop3, etc.

El protocolo SSL/TLS se ejecuta en una capa entre los protocolos de aplicación como: HTTP sobre SSL/TLS es HTTPS, ofreciendo seguridad a páginas WWW para

aplicaciones de comercio electronic, utilizando certificados de clave pública para verificar la identidad de los extremos. Visa, MasterCard, American Express y muchas de las principales instituciones financieras han aprobado SSL para el comercio sobre Internet.





SSH utiliza SSL/TLS por debajo. SMTP y NNTP pueden operar también de manera segura sobre SSL/TLS. POP3 i IMAP4 sobre SSL/TLS son POP3S i IMAPS.

Existen múltiples productos clientes y servidores que pueden proporcionar SSL de forma nativa, pero también existen muchos que aún no lo permiten. una solución podría ser usar una aplicación SSL independiente como Stunnel para conseguir el cifrado, pero IETF recomendó en 1997 que los protocolos de aplicación ofrecieran una forma de actualizar a TLS a partir de una conexión sin cifrado (plaintext) en vez de usar un puerto diferente para cifrar las comunicaciones, evitando el uso de envolturas (wrappers) como Stunnel.SSL también puede ser usado para tunelar una red completa y crear una red privada virtual (VPN), como en el caso de OpenVPN.Implementaciones del Protocolo TLSExisten diferentes implementaciones, como por ejemplo:

OpenSSL: es una implementación de código abierto, la más utilizada. Es un proyecto desarrollado por la comunidad Open Source para libre descarga y está basado en SSLeay, que ayuda al sistema a implementar el SSL/TLS ofreciéndole un robusto paquete de herramientas de administración y librerías de criptografía que pueden ser usadas para OpenSSH y navegadores web (acceso seguro a HTTPS).

GnuTLS: es una implementación de código abierto con licencia compatible con GPL. JSSE: es una implementación realizada en el Java incluida en el Java Runtime

Environment.

VULNERABILIDADES DEL PROTOCOLO TLS

Pese a ser SSL/TLS un protocolo seguro, se han ido encontrando una serie de vulnerabilidades que explotan el propio protocolo SSL o alguna de las implementaciones que ha utilizado a lo largo de toda su historia.

Existe una vulnerabilidad del procedimiento de renegociación fue descubierto en agosto de 2009, que puede conducir a ataques de inyección de texto contra SSL 3.0 y todas las versiones actuales de TLS. Por ejemplo, permite a un atacante que puede secuestrar una conexión https para empalmar sus propias peticiones en el comienzo de la conversación que el cliente con el





servidor web. El atacante no puede descifrar realmente el servidor de comunicación con el cliente, por lo que es diferente de un típico enelataque medio hombre .

Microsoft está consciente de la información detallada que se publicó describiendo un nuevo método para explotar una vulnerabilidad en SSL 3.0 y TLS 1.0, afectando al sistema operativo Windows.

Esta vulnerabilidad afecta por sí al protocolo y no es para un sistema operativo específico de Windows. Esta vulnerabilidad de divulgación de información permite revelar el tráfico cifrado por SSL/TLS, impacta principalmente a tráfico HTTPS, ya que el navegador es el primer vector de ataque, y todo el tráfico web servido a través de HTTPS o contenido mixto HTTP/HTTPS es afectado.

"No tenemos conocimiento de un manera para explotar esta vulnerabilidad en otros protocolos o componentes, y no nos hemos percatado de ataques que traten de utilizar la vulnerabilidad reportada en este momento. Considerando el escenario de ataque de esta vulnerabilidad no se considera un gran riesgo para los clientes", señala Microsoft.actores mitigantes:

El ataque debe hacer cientos de peticiones HTTPS antes que pueda tener éxito. TLS 1.1, TLS 1.2, y todos los conjuntos de cifrado que no usen el modo CBC, no son

afectados.

Los investigadores de seguridad Nadhem AlFardan y Kenny Paterson han identificado una forma de lanzar ataques maninthemiddle contra los protocolos Transport Layer Security (TLS) y Datagram TLS (DTLS) utilizados por muchos sitios web para proteger la información confidencial.

El ataque ha sido apodado "Lucky 13" porque el cálculo MAC de TLS incluye 13 bytes de información del encabezado. Esta es una de las razones por las que el ataque es posible.El ataque Lucky 13 podría permitir a los ciberdelincuentes recuperar datos en texto sin cifrar de un TLS o una conexión DTLS cuando se utiliza el cifrado de modo CBC.





Los expertos han demostrado su método de ataque en las implementaciones de OpenSSL y GnuTLS, pero ponen de manifiesto el hecho de que la vulnerabilidad existe en la especificación TLS, no en implementaciones específicas.

En el caso de OpenSSL, es posible lanzar un ataque de recuperación de texto completo, mientras que para GnuTLS, se podría realizar solamente un ataque parcial de recuperación de texto en claro.

"Para TLS, nuestros ataques son ataques de múltiples sesiones, lo que significa que el texto en claro debe enviarse repetidamente en la misma posición en la secuencia de texto en varias sesiones de TLS",explican los investigadores.

PUNTO DÉBIL DE LA TECNOLOGÍAEs importante que estés consciente que pese acceder sólo a sitios seguros, la tecnología SSL/TLS no garantiza al 100% que tu información esté segura; considera que, como toda creación humana, tiene fallos. Los atacantes se han vuelto muy hábiles e ingeniosos para burlar estos mecanismos de seguridad.Por ello, debes tomar algunas medidas preventivas antes de realizar transacciones en línea que puedan poner en riesgo tu información.

TRANSPORT LAYER SECURITY PARA EL CORREO ENTRANTETSL cifra y entrega el correo con seguridad, ayuda a prevenir el espionaje y falsificación de mensajes entre servidores de correo. TLS está siendo rápidamente adoptado como el estándar para correo electrónico seguro.El protocolo utiliza criptografía para proporcionar autenticación de punto final y la privacidad de las comunicaciones a través de Internet. TLS es el equivalente electrónico de HTTPS para las comunicaciones web, tiene fortalezas y debilidades similares.Las características principales de TLS son:

http://www.google.com/url?q=http%3A%2F%2Fwww.isg.rhul.ac.uk%2Ftls%2F&sa=D&sntz=1&usg=AFQjCNFkvZie8nNvGleFYfJWw6j0q6kBWg





Los mensajes cifradosTLS utiliza la infraestructura de clave pública (PKI) para cifrar mensajes de servidor de correo al servidor de correo. Este cifrado hace que sea más difícil para los hackers para interceptar y leer mensajes.

AutenticaciónTLS admite el uso de certificados digitales para autenticar los servidores que reciben. La autenticación de servidores de envío es opcional. Este proceso verifica que los receptores (o emisores) son quienes dicen que son, lo que ayuda a evitar la suplantación.

Para el tráfico de correo entrante, el servicio de protección de correo electrónico actúa como un proxy entre el servidor de envío y de su servidor de correo. Los mensajes entrantes se reciben a través de sendos SMTP connections. La primera conexión es desde el servidor de envío para el servicio de protección de correo electrónico. La segunda conexión es del servicio de protección de correo electrónico de su servidor de correo.

Etapa 1: El servidor de envío envía un mensaje a través de TLS a la protección de correo electrónico de servicio, siempre que acepta mensajes TLS y procesar de acuerdo con el protocolo TLS. El mensaje se encripta desde el servidor de envío para el servicio de protección de correo electrónico.Etapa 2: Se puede elegir si la conexión de la protección de correo electrónico de servicio a su conexión con el servidor de correo utiliza TLS.

Si un servidor de correo envía un mensaje cifrado TLS y el servidor de correo ha permitido a TLS, recibe un mensaje cifrado TLS.

Procesamiento de mensajes y cifrado:La siguiente descripción flujo de mensajes, el cifrado y filtrado de mensajes para las conexiones TLS entrantes.

1. Si el servidor de envío intenta una conexión TLS, el servicio de protección de correo electrónico envía la información del certificado, la clave pública, y las especificaciones de cifrado al servidor de envío.

2. Mientras se mantiene la conexión abierta con el remitente, la protección de correo





electrónico de servicio establece una conexión TLS con el servidor de correo. El servidor de correo debe ser TLS habilitado.

3. El servidor de correo envía su información de certificado (incluyendo la clave pública de cifrado) para el servicio de protección de correo electrónico.

4. El servidor de envío encripta y entrega el mensaje a la protección de correo electrónico de servicios.

5. El mensaje se descifra, se procesa en busca de virus, y se filtra el correo no deseado.6. El mensaje se encripta de nuevo y es entregado a su servidor a través de TLS.

Autenticación y Certificados

Usted necesitará un certificado digital que incluye las claves públicas y privadas para que su servidor de correo puede establecer conexiones TLS y mensajes cifrar / descifrar. Este certificado puede ser un certificado firmado por una autoridad o de un certificado autofirmado. El certificado sólo se utiliza para negociar el cifrado entre los servidores de correo, y no llevar a cabo ninguna disposición según la información contenida en el certificado.

Los usuarios no tienen que configurar los certificados en sus clientes de correo para soportar TLS.

Lo que sigue es una descripción de certificado TLS de correo entrante en las transacciones:

1. Tráfico TLS se entrega al servicio de protección de correo electrónico con la autoridad, certificados firmados.

Cuando el servicio de protección de correo electrónico procesa los mensajes entrantes, el servidor de correo remitente recibe un certificado de Google que hace referencia a un servidor comodín (*. psmtp.com) que representa a los servidores del servicio de protección de correo electrónico.Es posible emplear cifrado hasta el nivel de 256 bits (el nivel más alto disponible comercialmente).

2. Tráfico TLS liberado del servicio de protección de correo electrónico de su servidor está cifrada con su certificado.

Para las conexiones TLS entre el servicio de protección de correo electrónico y el servidor, puede usar cualquiera de los certificados con firma personal o firmado por una autoridad. El tipo de certificado no afecta a la administración el servicio de protección de correo electrónico





utiliza el certificado para negociar el cifrado entre los dos servidores, y no realiza ninguna disposición sobre la base de la información contenida en el certificado.Mensajes cifrados TLS o mensajes enviados desde un certificado firmado por una autoridad sólo implica que los remitentes son quienes dicen que son. Los mensajes enviados a través de TLS no son necesariamente menos probabilidades de contener virus o ser correo basura.

Otras formas de Email EncryptionAdemás de TLS, también se admiten las formas anteriores de seguridad de correo electrónico basado en SSL. Cuando TLS está habilitado, el servicio de protección de correo electrónico intenta conectarse con TLS primero, pero si esto no es posible, se utilizan versiones anteriores de seguridad de correo electrónico SSL, incluyendo SSL2 y SSL3.

RECOMENDACIONES Evita hacer uso de computadoras y redes públicas, sobre todo si vas a utilizar el servicio

de banca en línea, realizar cualquier tipo de compra o transferir información valiosa. Instala un antivirus y procura mantenerlo actualizado. Es importante mantener actualizado tu navegador, ya que si no lo haces, eres más

susceptible a ataques. Consulta el sitio web oficial del navegador que elijas y obtén la versión más reciente.

Cuando utilices HTTPS, verifica la vigencia del certificado, esto lo puedes hacer observando en el periodo de validez del mismo.

CONCLUSIONES

La seguridad es un aspecto importante que se debe recalcar cuando hablamos de sistemas de





información y de aplicaciones del tipo clienteservidor. Debido al avance en la tecnología y crecimiento que ha tenido la red mundial de internet, hoy en día las organizaciones aprovechan el comercio electrónico, para facilitar sus operaciones. Por lo que es necesario que exista un certificado de seguridad que garantice que la comunicación clienteservidor es confiable y segura.Por lo que al implementar el protocolo TLS, es posible mantener la confidencialidad e integridad de los datos durante la transferencia a nivel de la capa transporte, ya que los datos como cuentas bancarias o información personal,son protegidos a través de métodos criptográficos.Una ventaja de TLS es que permite autenticar tanto al servidor como al usuario y así garantizar la identidad de ambos extremos. Finalmente es posible afirmar que implementar de forma adecuada este protocolo de seguridad proporciona grandes beneficios a las empresas, permitiendo que cuenten con un nivel de seguridad aceptable en la transferencia de datos.

El TSL es un protocolo muy importante a la hora del intercambio de información que se realizaen aplicaciones cliente servidor, esto ayuda a que el entorno sea seguro y libre de ataques,debido a que la seguridad es un aspecto fundamental en la actualidad y con la ayuda de esteprotocolo se mantiene la integridad y confidencialidad de los datos durante su comunicación.Como hemos visto, a lo largo del tiempo han surgido diversas versiones de TLS ,en las cualesaunque sea poco la diferencia van cubriendo las debilidades, se va mejorando elfuncionamiento, con ayuda del complemento RSC, pero tenemos que tomar en cuenta que noexiste nada seguro, ya que este tipo de protocolo cuenta con diversas vulnerabilidades que sehan descubierto, pero no dejemos de tener en cuenta que si nos ayuda mucho a protegernuestros datos.

Este protocolo nos ayuda a evitar la falsificación de la identidad del remitente y mantener la integridad del mensaje en una aplicación clienteservidor ya que los extremos se autentican mediante certificados digitales, sin embargo, es importante que estemos consientes que la tecnología TLS no garantiza al 100% que la información está segura, ya que como toda creación humana tiene fallas, cada vez los atacantes buscan formas para burlar estos mecanismos de seguridad, por lo cual es importante que tomemos algunas medidas preventivas antes de realizar transacciones en línea que puedan mantener en riesgo nuestra información, algunas recomendaciones es mantener nuestro navegador actualizado y verificar la vigencia del certificado de seguridad cuando utilizamos https.





BIBLIOGRAFÍAhttp://searchsecurity.techtarget.com/definition/TransportLayerSecurityTLS

http://www.seguridad.unam.mx/vulnerabilidadesDB/?vulne=6348

http://revista.seguridad.unam.mx/numero10/elcifradowebssltls

http://www.google.com/support/enterprise/static/postini/docs/admin/en/admin_ee_cu/ib_tls_overview.html

http://emaxilab.com/ciencia/article_7289.html

https://www.google.com.mx/url?sa=t&rct=j&q=&esrc=s&source=web&cd=12&cad=rja&ved=0CDkQFjABOAo&url=http%3A%2F%2Foctavoseguridadinformaticajessicajimeneznieto.wikispaces.com%2Ffile%2Fview%2F5.2%2BTransport%2Blayer%2Bsecurity%2BTLS.doc&ei=dPFUrXiJqLgsASFvoDICw&usg=AFQjCNGfzkVSPoxjzJQKAUHdZC15lva_Jw&sig2=oT4ENWzWLpjGGauD7SfuA

http://www.google.com/url?q=http%3A%2F%2Fsearchsecurity.techtarget.com%2Fdefinition%2FTransport-Layer-Security-TLS&sa=D&sntz=1&usg=AFQjCNEFb1j8nD2QEJKoFu9_01-E7yzPNg

http://www.google.com/url?q=http%3A%2F%2Fwww.seguridad.unam.mx%2FvulnerabilidadesDB%2F%3Fvulne%3D6348&sa=D&sntz=1&usg=AFQjCNFJKhtNqGEC0_kLvfxV988snlI59Q

http://www.google.com/url?q=http%3A%2F%2Frevista.seguridad.unam.mx%2Fnumero-10%2Fel-cifrado-web-ssltls&sa=D&sntz=1&usg=AFQjCNHek6qWZzm6iHnB-P4PiimJq_va2g



http://www.google.com/url?q=http%3A%2F%2Femaxilab.com%2Fciencia%2Farticle_7289.html&sa=D&sntz=1&usg=AFQjCNGrZKW7dNogabRWZFWeB7Z-ycccXA

https://www.google.com.mx/url?sa=t&rct=j&q=&esrc=s&source=web&cd=12&cad=rja&ved=0CDkQFjABOAo&url=http%3A%2F%2Foctavoseguridadinformaticajessicajimeneznieto.wikispaces.com%2Ffile%2Fview%2F5.2%2BTransport%2Blayer%2Bsecurity%2BTLS.doc&ei=dPF-UrXiJqLgsASFvoDICw&usg=AFQjCNGfzkVSPoxjzJQKAUHdZC15lva_Jw&sig2=oT-4ENWzWLpjGGauD7SfuA









Documents

Vc4 nm73 eq6-tls