Aprobado TLS 1.3: así es como podría hacer que Internet sea más seguro

El IETF finalmente dio el visto bueno al protocolo TLS 1.3, que acelerará las conexiones seguras y dificultará la intrusión de los atacantes.

  • TLS 1.3 ha sido aprobado para su uso, lo que hará que todas las conexiones seguras a Internet sean más rápidas y seguras.
  • Las mejoras de seguridad y velocidad introducidas por TLS 1.3 se deben a la eliminación de pasos de handshake innecesarios y al uso forzado de métodos de cifrado más nuevos.

Transport Layer Security (TLS) versión 1.3 ha sido aprobado por Internet Engineering Task Force (IETF), lo que lo convierte en el nuevo estándar de la industria para conexiones seguras.

La versión aprobada es en realidad el 28º borrador de la actualización a TLS 1.2 y ha estado en discusión entre los miembros de IETF durante más de dos años. TLS es una parte fundamental de la seguridad de las conexiones a Internet a través de HTTPS, lo que probablemente ralentizó su adopción para que los miembros de IETF pudieran estar seguros de que no habría exploits.

Con la nueva versión puesta a convertirse en el modelo estándar para proteger las conexiones a Internet, los usuarios pueden esperar que las conexiones se completen más rápido debido a la forma en que está implementada la comunicación de computadora a computadora. Ese mismo aumento de velocidad también hará que TLS sea más seguro porque gran parte de lo que se eliminó fue una encriptación vieja y obsoleta.

No sin controversia

TLS 1.3 generó inquietudes en las industria financiera y bancaria cuando se comenzó a considerar en 2016. La comunicación optimizada que es un sello distintivo de TLS 1.3 hace que sea imposible para los bancos descifrar y monitorear las conexiones TLS. 

Los profesionales de seguridad de la industria financiera solicitaron la inclusión de una puerta trasera en TLS 1.3 que les permitiera continuar monitorizando el tráfico de TLS, pero eso fue rechazado en la versión final que fue aprobada, y los miembros de IETF dijeron que una puerta trasera eliminaría las ventajas que proporcionaría TLS 1.3.

Una segunda controversia en TLS 1.3 es su uso de la 0-RTT Resumption, que permite que dos computadoras que previamente compitieron un handshake TLS 1.3 almacenen la información del otro y utilicen claves antiguas para conexiones futuras. Un atacante que obtenga acceso a la información de 0-RTT Resumption podría falsificar una conexión, aunque será difícil hacerlo porque adquirir esta clave requeriría obtener acceso físico a una máquina.

Cómo TLS 1.3 acelerará y mejorará la seguridad en Internet

Las mejoras de seguridad y velocidad que aporta TLS 1.3 dependen una de la otra: es seguro porque es más rápido y más rápido debido a las mejoras de seguridad.

Para comprender mejor cómo funciona esa relación bidireccional, ayuda a comprender cómo funciona una conexión TLS 1.2. En TLS 1.2, la conexión inicial abre un diálogo sobre qué tipo de encriptación usar, sobre lo cual un servidor y un cliente deben ponerse de acuerdo. Una vez acordado, comienzan a compartir claves de cifrado.

TLS 1.3, por otro lado, elimina el debate sobre qué tipo de encriptación usar. La conexión inicial es una declaración del cliente que dice a qué planea acceder, el servidor proporciona una clave de cifrado, el cliente proporciona una clave de sesión y luego se realiza la conexión.

Dado que el servidor proporciona automáticamente una clave, los clientes no podrán engañar a un servidor para que use mecanismos de cifrado más viejos.

Entre forzar el uso del nuevo cifrado y la eliminación de las comunicaciones iniciales innecesarias, TLS 1.3 tiene el potencial de hacer mucho bien para Internet. Algunos navegadores ya han lanzado versiones de TLS 1.3 basadas en borradores anteriores de IETF. Ahora que finalmente se ha formalizado, resta esperar que tu navegador se actualice a una versión nueva. Esa es una actualización que definitivamente no debes ignorar si deseas lo último en tecnología para conexiones seguras.

En el caso Firefox, ya incorpora soporte de TLS 1.3 desde la versión 52. Para habilitarlo escribimos about:config en la barra de direcciones y vamos a security.tls.version.max. El valor predeterminado es “3”, que corresponde a TLS 1.2. Cambiando este valor a “4” utilizará TLS 1.3 siempre que el servidor del otro extremo así lo permita. Para que el cambio sea efectivo, hay que cerrar el navegador y volverlo a abrir.

Por su parte Google Chrome 65 es compatible con TLS 1.3 de forma predeterminada. Para activarlo, hay que ir a chrome://flags.

Microsoft Edge aún no soporta/tiene activado este protocolo de manera predeterminada.