{"id":38110,"date":"2019-10-31T22:21:42","date_gmt":"2019-10-31T19:21:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut\/"},"modified":"2019-10-31T22:21:42","modified_gmt":"2019-10-31T19:21:42","slug":"dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","title":{"rendered":"DPI (inspecci\u00f3n SSL) contradice el prop\u00f3sito de la criptograf\u00eda, pero las empresas lo est\u00e1n implementando","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"DPI
\nCadena de confianza. CC BY-SA 4.0 Yanpas<\/a><\/noindex><\/i><\/p>\n

La inspecci\u00f3n de tr\u00e1fico SSL (desencriptaci\u00f3n de SSL\/TLS, an\u00e1lisis SSL o DPI) se est\u00e1 convirtiendo en un tema cada vez m\u00e1s candente en el sector corporativo. La idea de desencriptar tr\u00e1fico parece contradecir el mismo concepto de la criptograf\u00eda. Sin embargo, es un hecho: cada vez m\u00e1s empresas utilizan tecnolog\u00edas DPI, justificando esto por la necesidad de verificar el contenido en busca de malware, filtraciones de datos, etc.<\/p>\n

Bueno, si se acepta como hecho que es necesario implementar dicha tecnolog\u00eda, al menos se deben considerar formas de hacerlo de la manera m\u00e1s segura y bien gestionada posible. No deber\u00edamos confiar, por ejemplo, en los certificados que te proporciona el proveedor del sistema DPI.<\/p>\n

Hay un aspecto de la implementaci\u00f3n del que no todos son conscientes. De hecho, muchos realmente se sorprenden al o\u00edr hablar de \u00e9l. Es un centro de certificaci\u00f3n privado (CA). Este genera certificados para desencriptar y volver a encriptar el tr\u00e1fico.
\n<\/a><\/noindex>
\nEn lugar de depender de certificados autofirmados o certificados de dispositivos DPI, puedes usar un CA dedicado de un centro de certificaci\u00f3n externo, como GlobalSign. Pero primero, hagamos un peque\u00f1o repaso sobre el problema mismo.<\/p>\n

\u00bfQu\u00e9 es la inspecci\u00f3n SSL y por qu\u00e9 se utiliza?<\/h2>\n

\nCada vez m\u00e1s sitios web p\u00fablicos est\u00e1n migrando a HTTPS. Por ejemplo, seg\u00fan la estad\u00edstica de Chrome,<\/a><\/noindex>, a principios de septiembre de 2019, la proporci\u00f3n de tr\u00e1fico cifrado en Rusia alcanz\u00f3 el 83%.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Desafortunadamente, la encriptaci\u00f3n del tr\u00e1fico es cada vez m\u00e1s utilizada por los delincuentes, especialmente porque Let’s Encrypt proporciona miles de certificados SSL gratuitos de manera automatizada. As\u00ed, HTTPS se usa en todas partes, y el candado en la barra de direcciones del navegador ha dejado de ser un indicador confiable de seguridad.<\/p>\n

Desde esas posiciones, los fabricantes de soluciones DPI promueven sus productos. Se insertan entre los usuarios finales (es decir, tus empleados, que navegan por p\u00e1ginas web) y la Internet, filtrando el tr\u00e1fico malicioso. Hasta la fecha, existe una variedad de estos productos en el mercado, pero los procesos son esencialmente los mismos. El tr\u00e1fico HTTPS pasa por un dispositivo de inspecci\u00f3n, donde se desencripta y se verifica en busca de malware.<\/p>\n

Despu\u00e9s de completar la verificaci\u00f3n, el dispositivo crea una nueva sesi\u00f3n SSL con el cliente final para descifrar y volver a cifrar el contenido.<\/p>\n

C\u00f3mo funciona el proceso de descifrado\/re-cifrado<\/h2>\n

\nPara que el dispositivo de inspecci\u00f3n SSL descifre y vuelva a cifrar los paquetes antes de enviarlos a los usuarios finales, debe ser capaz de emitir certificados SSL sobre la marcha. Esto significa que debe tener un certificado de la CA instalado.<\/p>\n

Es importante para la empresa (o cualquier persona intermedia) que estos certificados SSL sean confiables en los navegadores (es decir, que no generen advertencias alarmantes como las que se muestran a continuaci\u00f3n). Por lo tanto, la cadena de CA (o jerarqu\u00eda) debe estar en el almac\u00e9n de confianza del navegador. Dado que estos certificados no son emitidos por autoridades de certificaci\u00f3n p\u00fablicas y confiables, es necesario transferir manualmente la jerarqu\u00eda de CA a todos los clientes finales.<\/p>\n

\"DPI
\nMensaje de advertencia para un certificado autofirmado en Chrome. Fuente: BadSSL.com<\/a><\/noindex><\/i><\/p>\n

En computadoras con Windows, se puede utilizar Active Directory y pol\u00edticas de grupo, pero para dispositivos m\u00f3viles el proceso es m\u00e1s complicado.<\/p>\n

La situaci\u00f3n se complica a\u00fan m\u00e1s si es necesario mantener en un entorno corporativo otros certificados ra\u00edz, como los de Microsoft o basados en OpenSSL. Adem\u00e1s, la protecci\u00f3n y gesti\u00f3n de claves secretas es crucial para que ninguna de las claves expire inesperadamente.<\/p>\n

La mejor opci\u00f3n: un certificado ra\u00edz privado y dedicado de una CA externa<\/h2>\n

\nSi la gesti\u00f3n de m\u00faltiples ra\u00edces o certificados autofirmados no es atractiva, hay otra opci\u00f3n: confiar en una CA externa. En este caso, los certificados son emitidos por una<\/b> autoridad certificadora privada que est\u00e1 vinculada en la cadena de confianza a una CA ra\u00edz privada y dedicada, creada espec\u00edficamente para la empresa.<\/p>\n

\"DPI<\/a><\/noindex>
\nArquitectura simplificada para certificados ra\u00edz de clientes dedicados<\/i><\/p>\n

Esta configuraci\u00f3n elimina algunos de los problemas mencionados anteriormente: al menos reduce la cantidad de ra\u00edces que hay que gestionar. Aqu\u00ed se puede utilizar un \u00fanico centro de ra\u00edz privado para todas las necesidades internas de PKI con cualquier n\u00famero de centros de certificaci\u00f3n intermedios. Por ejemplo, en el diagrama anterior se muestra una jerarqu\u00eda multinivel en la que uno de los centros de certificaci\u00f3n intermedios se usa para verificar\/desencriptar SSL, y otro para computadoras internas (port\u00e1tiles, servidores, computadoras de escritorio, etc.).<\/p>\n

En este esquema no es necesario alojar una CA en todos los clientes, ya que la CA de nivel superior se aloja en GlobalSign, lo que resuelve los problemas de protecci\u00f3n de la clave privada y de caducidad.<\/p>\n

Otra ventaja de este enfoque es la posibilidad de revocar un certificado de autoridad de SSL por cualquier motivo. En su lugar, simplemente se crea uno nuevo, que se vincula a su ra\u00edz privada original y se puede utilizar de inmediato.<\/p>\n

A pesar de toda la controversia, las empresas est\u00e1n adoptando cada vez m\u00e1s la inspecci\u00f3n de tr\u00e1fico SSL como parte de la infraestructura privada o interna de PKI. Otras aplicaciones de PKI privada incluyen la emisi\u00f3n de certificados para la autenticaci\u00f3n de dispositivos o usuarios, SSL para servidores internos, as\u00ed como diferentes configuraciones que no est\u00e1n permitidas en certificados p\u00fablicos de confianza seg\u00fan los requisitos del CA\/Browser Forum.<\/p>\n

Los navegadores se resisten<\/h2>\n

\nEs importante notar que los desarrolladores de navegadores est\u00e1n tratando de oponerse a esta tendencia y proteger a los usuarios finales de ataques MiTM. Por ejemplo, hace unos d\u00edas Mozilla tom\u00f3 una decisi\u00f3n<\/a><\/noindex> anunci\u00f3 que implementar\u00e1 por defecto el protocolo DoH (DNS-over-HTTPS) en una de las siguientes versiones del navegador Firefox. El protocolo DoH oculta las solicitudes DNS del sistema DPI, dificultando la inspecci\u00f3n SSL.<\/p>\n

Sobre planes similares, el 10 de septiembre de 2019 anunci\u00f3<\/a><\/noindex> la empresa Google para el navegador Chrome.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Solo los usuarios registrados pueden participar en la encuesta. Inicie sesi\u00f3n<\/a><\/noindex>, por favor.<\/p>\n

\u00bfCree usted que la empresa tiene derecho a inspeccionar el tr\u00e1fico SSL de sus empleados?<\/h2>\n