El cifrado de clave pública es la columna vertebral de la seguridad web moderna. En el centro de este sistema se encuentra la Capa de sockets seguros (SSL). Netscape creó este protocolo para ayudar a los navegadores y servidores web a comunicarse de forma segura. Nunca estuvo destinado a permanecer solo para siempre.
Hoy en día, SSL es sólo un término heredado. El estándar actual en uso es Seguridad de la capa de transporte (TLS).
No es necesario ser un codificador para notar la diferencia en su navegación diaria. Está ahí, en la barra de direcciones. Busque la “s” en https.
Antes, viste http. Ahora verá https.
Suele haber un pequeño icono de candado cerca. A veces está en la barra de estado en la parte inferior de la ventana. A veces flota en el campo URL. El significado es el mismo. Tus datos están encriptados. Si inicia sesión en una cuenta bancaria o utiliza PayPal, querrá ver ese bloqueo. Sus detalles de pago no deben estar en texto plano en la transferencia.
“TLS y SSL dependen en gran medida de las autoridades certificadoras para verificar la identidad”.
Pero, ¿cómo sabe realmente el navegador que el sitio es seguro? No es magia. Es un apretón de manos con una Autoridad certificadora (CA).
Cuando solicita una página segura, el proceso comienza. El navegador añade la “s” a “http”. Luego verifica tres cosas específicas antes de cargar la página:
- Confianza : ¿El certificado proviene de una parte en la que el navegador confía?
- Validez : ¿El certificado está actualmente activo y no ha caducado?
- Coincidencia : ¿El certificado realmente pertenece al sitio que estás visitando?
Si alguna de estas comprobaciones falla, el navegador mostrará una advertencia. No le permitirá proceder a ciegas. Este sistema es la razón por la que puede confiar en que su información confidencial se transmite de forma segura. El protocolo ha evolucionado, pero el trabajo principal sigue siendo el mismo. Mantener sus datos fuera del alcance de espías.
El apretón de manos que mantiene tus datos seguros
Aquí es donde ocurre la seguridad real.
El navegador toma esa clave pública que acaba de recibir y la usa para cifrar una clave simétrica generada aleatoriamente. Bastante simple.
Pero aquí está el truco. El cifrado de clave pública es pesado. Exige una gran potencia informática. Hacerlo para cada paquete de datos paralizaría su navegador. Entonces los sistemas no hacen eso.
En cambio, utilizan un enfoque híbrido.
Piense en ello como un túnel seguro. La clave pública es sólo el timbre. Deja pasar el mensaje inicial. Una vez dentro, cambia al cifrado de clave simétrica para el resto de la conversación. Es más rápido. Es más ligero. Es el estándar sobre cómo dos computadoras inician una sesión segura.
Una computadora crea la clave simétrica. Lo concluye utilizando cifrado de clave pública. Lo envía al otro lado. El otro lado lo desbloquea. Ahora ambas partes tienen el mismo código secreto.
A partir de ese momento se comunican mediante cifrado de clave simétrica.
Y aquí está la parte que la mayoría de los usuarios pasan por alto. La clave no dura.
Cuando finaliza la sesión, la clave se destruye. Está descartado. Desaparecido.
Si inicia una nueva sesión, se crea una nueva clave simétrica. Todo el proceso se repite.
“Una vez finalizada la sesión, cada computadora descarta la clave simétrica utilizada para esa sesión.”
Esto se llama secreto directo. O al menos, una versión básica del mismo. Esto significa que incluso si un hacker roba una clave, es inútil para cualquier otra cosa. Cada sesión está aislada. Cada sesión tiene su propio bloqueo único.
¿Por qué esto importa?
Porque limita el daño. Si su conexión HTTPS es interceptada, el atacante solo obtiene los datos de esa sesión. No obtienen su historial de contraseñas. No reciben sus correos electrónicos antiguos. No obtienen la llave del reino.
La clave es temporal. La sesión es efímera. La seguridad es continua.
Es una danza de creación y destrucción. Nacen las llaves. Flujos de datos. Las llaves mueren.
Y ni siquiera lo ves.
