Certificados digitales SSL y TLS
Agenda
Introduccin SSL/TLS
Certificados digitales
Validez certificados
Detalles en los navegadores
Tipos de certificados
Empresas certificadoras
Creando mi propio certificado
Introduccin al
SSL/TLS
SSL: Secure Sockets Layer
TLS: Transport Layer Security
Es una tecnologa que establece una
conexin segura entre un cliente
(visitante de un sitio web) y un
servidor (servidor web) y hacen que
toda la comunicacin sea cifrada
Introduccin al
SSL/TLS
Los referenciamos como un protocolo
que provee un canal seguro entre
dos dispositivos
El diseo del SSL inicia en 1994 por
la empresa Netscape
Communications y su diseo estaba
orientado exclusivamente a
ambientes web
Introduccin al
SSL/TLS
Cronologa
IETF: Internet
Engineering Task
Force. Genera los
documentos
reconocidos como
RFC. Muchos,
estndares
oficiales
TLS: RFC 2246
Ref. SSL and TLS.
Designing and
Building Secure
Systems
Introduccin al
SSL/TLS
SSL en la capa de protocolos:
Ref. SSL and TLS. Designing and Building Secure Systems
Introduccin al
SSL/TLS
Aplicaciones conocidas que usan
protocolo de seguridad:
Web
Correo
FTP (FTPS)
VPN
HTTP sobre SSL
HTTP fue el primer protocolo en usar
una capa de seguridad SSL
HTTP sobre SSL comnmente le
conocemos como HTTPS
Puerto 443
HTTP sobre SSL
Para los certificados digitales se
requiere que el dominio tenga una IP
dedicada
Si se usan servidores virtuales
(virtual hosts), la forma de conocer el
dominio a acceder es mediante el
encabezado Host del protocolo HTTP,
sin embargo, cuando se hace la
negociacin SSL, esta informacin no
se ha enviado
HTTP sobre SSL
La solucin es usar IP reales
dedicadas para cada dominio, pues
esta informacin si puede ser
considerada en el flujo de datos SSL
Certificados digitales
Qu es un certificado digital?
Un certificado digital es un
documento electrnico el cual valida
la identidad de una entidad (persona,
empresa, programa) y asocia esa
identidad a una llave pblica
Certificados digitales
Es un contenido de cdigo
almacenado en el servidor con el fin
de:
Ref. Verisign
Certificados digitales
Comunicacin entre el servidor y el
navegador
Ref. Verisign
Certificados digitales
Comprobacin de la validez de un
certificado
Existen tres condiciones para que el
certificado sea vlido y aceptado por
los navegadores
Si no se cumple alguna condicin el
navegador alerta y recomienda no
continuar con la sesin
Certificados digitales
1. Nombre comn CN (Common Name)
Debe coincidir con la direccin URL
que el usuario digita en el navegador
Certificados digitales
Si el Common Name no coincide
Certificados digitales
Si a pesar de la advertencia, acepto
ingresar al sitio
Certificados digitales
Verificando el Common Name del
certificado como usuario
Certificados digitales
2. El certificado debe estar firmado por
una EC (Entidad Certificadora) vlida
Certificados digitales
Entidades certificadores registradas en
los navegadores:
Firefox Edicin Preferencias
Avanzado Cifrado Ver Certificados
Certificados digitales
Chrome Configuracin Mostrar
configuracin avanzada HTTPS/SSL
Administrar certificados
Autoridades
Certificados digitales
3. El periodo de validez del certificado
Certificados digitales
Signos visibles en el navegador
Certificados digitales
Detalle en Opera
Certificados digitales
Usos:
Transacciones, se requiere validar la
autenticidad del dueo de un sistema
Comercio electrnico
Pginas de autenticacin
Cifrado de las comunicaciones
Certificados digitales
Shared Certificates
Brindados por empresas hospedaje
No hay relacin con el nombre del
dominio
Mensajes de alerta en el navegador
Cumplen funcin bsica
Se pueden usar para asegurar
conexin con una seccin admin.
Certificados digitales
Validacin nombre de dominio
Solo se valida el nombre del dominio
No hay alerta por parte del
navegador
Ideal para asegurar comunicacin
entre sitio web y visitantes
Certificados digitales
Validacin de organizacin
El ente certificador valida la
existencia de una organizacin
Ms validacin Ms seguridad
Son muy usados
Certificados digitales
De validacin extendida (EV)
Top de los certificados
Mejor proceso de validacin
Barra verde exclusiva
Navegadores muestran nombre
organizacin
Certificados digitales
Wildcard
Permiten usar un nico certificado en
mltiples subdominios
Por ejemplo, se pueda usar para:
midominio.com
www.midominio.com
dev.midominio.com
compras.midominio.com
Certificados digitales
Multi-dominio
Se puede usar en mltiples dominios,
con nombre igual de segundo nivel y
diferente de primer nivel
Ejemplos:
midominio.com
midominio.net
midominio.org
Certificados digitales
Empresas certificadoras
Comodo: http://ssl.comodo.com/
DigiCert: http://www.digicert.com/
EnTrust: http://www.entrust.com/
GeoTrust: http://www.geotrust.com/ssl/
GoDaddy: http://www.godaddy.com/ssl/sslcertificates.aspx?ci=8979
Network Solutions: http://www.networksolutions.com/SSLcertificates/index.jsp
Thawte: http://www.thawte.com/
VeriSign: http://www.verisign.com/
Certificados digitales
Creando mi propio certificado (selfsigned certificates)
Yo soy mi propia autoridad
certificadora. Son los certificados
privados
Los navegadores no los reconocen y
envan una alerta
Agregando mi ente certificador para
que no est alertando
Certificados digitales
OpenSSL
Es una biblioteca de cifrado
Se deriv de SSLeany
La primera versin liberada de
OpenSSL fue en 1998
Hay un programa con una amplia
variedad de comandos
http://www.openssl.org/
Certificados digitales
Ingresando a mi sitio certificado
Certificados digitales
Si avanzo a pesar del mensaje de
advertencia de navegador
Certificados digitales
Agregando la autoridad de certificacin
al navegador
