A finales del mes de marzo de este año 2018 se aprobó de manera oficial TLS 1.3,
el nuevo y último estándar de seguridad, que no solo añade una
seguridad más robusta a las comunicaciones, sino también una mayor
rapidez. El pasado viernes 10 de agosto se publicó de manera oficial TLS
1.3 con su RFC 8446 que lo define, en este artículo os contamos los principales cambios que tenemos al navegar por Internet con TLS 1.3.
Durante los últimos 5 años, la organización que
se encarga de definir los protocolos de Internet (IETF), ha estado
trabajando en la estandarización de la última versión del protocolo TLS
(Transport Layer Security), en la versión TLS 1.3 de la que ya os hemos
hablado anteriormente en RedesZone.
El protocolo TLS no solo se utiliza para que las comunicaciones con
las páginas web bajo HTTPS tengan confidencialidad, autenticidad e
integridad, sino que también usamos TLS por ejemplo en OpenVPN, el
popular software cliente/servidor de redes privadas virtuales. Esta
nueva versión de TLS 1.3 no solo brinda una mayor seguridad a los
usuarios, sino también un rendimiento nunca visto antes.
TLS 1.3
es la nueva versión de este protocolo criptográfico cuya principal
finalidad es permitirnos establecer conexiones seguras a través de
Internet. La versión actual de TLS (protocolo sucesor del SSL) es la
1.2, versión definida en 2008 y que, hasta la fecha, ha estado
protegiendo nuestras comunicaciones. Sin embargo, esta nueva versión
1.3, que hasta ahora no es más que un borrador, ya está un paso más
cerca de convertirse en el nuevo estándar de Internet, y es que acaba de
recibir la aprobación de la IETF.
La IETF (Internet Engineering
Task Force) es una organización encargada de aprobar los nuevos
estándares de Internet. Tras 4 años de desarrollo, y un total de 28 borradores
publicados, finalmente esta organización ha decidido que el desarrollo
de TLS 1.3 ya está finalizado, y que será este último borrador el que
pasará a formar parte del nuevo estándar de Internet.
En comparación con TLS 1.2, algunas de las novedades que se han establecido con este nuevo estándar de seguridad para Internet son:
- Modo 0-RTT.
- Se elimina la hora GMT.
- Soporte ECC sin curvas elípticas.
- Un nuevo handshake con el fin de ofrecernos un modo 1-RTT.
- Se eliminan los grupos DHE.
- Eliminado el soporte para compresión de datos, intercambio de claves RSA y DH y todos los sistemas de cifrado que no sean AEAD.
TLS 1.3 será un protocolo con mucha más seguridad y mucha menos latencia que sus predecesores
Sin duda, las principales novedades de este nuevo estándar es que
elimina todo tipo de algoritmos inseguros, como el MD5 y SHA-224, a
favor de nuevos algoritmos mucho más seguros e imposibles de romper hoy
en día como ChaCha20, Poly1305, Ed25519, x25519 y x448). Además, las negociaciones para establecer las conexiones son mucho más rápidas y seguras gracias a las nuevas funciones como TLS False Start y Zero Round Trip Time (0-RTT).
Además, una función importante es que esta versión es invulnerable a los ataques que intentan forzar el uso de una versión inferior de TLS (a fin de poder aprovecharse de las debilidades de ella), acabando definitivamente con este vector de ataque.
TLS 1.3 no tendrá una puerta trasera, aunque sí se ha intentado incluirla
El sector financiero, las grandes empresas de Internet y los
gobiernos han estado intentando incluir una puerta trasera en este nuevo
estándar que les permitiera descifrar el tráfico cifrado en caso de
querer controlar las comunicaciones. Sin embargo, la IETF ha sido clara
en su propósito, y ha analizado todos los aspectos del borrador a
conciencia para garantizar que esto no ocurría.
Cómo utilizar ya mismo las conexiones TLS 1.3 en nuestros navegadores web
Aunque aún menos del 1% de los servidores es compatible con este
nuevo estándar de seguridad, los principales navegadores y sistemas
operativos modernos sí que lo soportan desde hace ya algún tiempo,
aunque no es una opción que venga activada por defecto, al menos de
momento.
Si queremos empezar a utilizar este nuevo estándar os recomendamos leer el siguiente artículo donde explicamos cómo habilitar el protocolo TLS 1.3 en Google Chrome y Firefox. Otras aplicaciones directamente relacionadas con la seguridad, como OpenSSL 1.1.1, también han implementado ya el uso de este nuevo protocolo seguro.
Fuente: https://www.redeszone.net/
: Conoce todas las mejoras en seguridad y rendimiento){kind=link}
0 Comentarios