Glosario de seguridad
¿Qué es TLS (seguridad de la capa de transporte)?
La seguridad de la capa de transporte (TLS) es un protocolo criptográfico que proporciona confidencialidad, integridad y autenticación de los extremos para los datos enviados entre dos aplicaciones a través de una red. Se ejecuta sobre un protocolo de transporte fiable, como el TCP, utiliza certificados para autenticar servidores y protege el tráfico de HTTPS, correo electrónico y DNS sobre TLS.
Puntos claveLos puntos clave se generan con la ayuda de la inteligencia artificial. Dado que los resúmenes automáticos pueden contener en ocasiones errores u omitir contexto importante, consulta siempre la entrada completa del blog para obtener toda la información.Transport Layer Security (TLS) is a cryptographic protocol that encrypts and authenticates data between applications over networks, with TLS 1.3 offering enhanced security through removed legacy algorithms and forward secrecy. DNS over TLS, defined in RFC 7858, specifically encrypts DNS queries on TCP port 853 to prevent observation of user lookups, while poor TLS management including expired certificates, incomplete chains, and blocked ports causes outages and security exposure. Organizations must maintain certificate inventories, enforce automated renewal, set minimum protocol version policies, and ensure firewall rules allow DNS over TLS traffic to protect core network services and prevent unauthorized access or data tampering.
Cómo funciona TLS
TLS comienza con un «handshake» en el que el cliente y el servidor acuerdan los parámetros del protocolo, autentican el servidor y derivan claves de sesión compartidas. Tras el «handshake», los datos de la aplicación se envían en registros cifrados y protegidos contra la alteración.
- «Client hello»: el cliente abre una conexión TCP y envía las versiones de TLS, los conjuntos de cifrado y la información sobre el intercambio de claves que admite.
- «Server Hello» y certificado: el servidor selecciona los parámetros y envía su certificado para que el cliente pueda verificar su identidad.
- Validación del certificado: el cliente comprueba que el certificado forma parte de una cadena que conduce a una autoridad de certificación de confianza, que no ha caducado y que coincide con el nombre solicitado.
- Intercambio de claves: ambas partes utilizan un intercambio de claves efímeras para derivar las mismas claves de sesión sin enviarlas a través de la red.
- Datos de aplicación cifrados: los puntos finales cambian al cifrado negociado e intercambian datos de aplicación en registros protegidos.
TLS 1.3, definido en el RFC 8446, acorta el proceso de establecimiento de la conexión y elimina los algoritmos más antiguos y menos seguros. El TLS mutuo añade un certificado de cliente para que el servidor también pueda autenticar al cliente. Los pasos anteriores muestran el caso habitual de autenticación por parte del servidor.
Problemas habituales con TLS
Un certificado que caduca sin renovarse provoca advertencias en el navegador y fallos en las llamadas a la API, a menudo a horas inesperadas. Los servicios con muchos puntos de conexión, como los equilibradores de carga y las interfaces de gestión, son los que suelen pasarse por alto con mayor frecuencia.
Un servidor que envía únicamente su propio certificado y omite los certificados intermedios funciona en algunos navegadores, pero falla en herramientas de línea de comandos, clientes Java y dispositivos integrados. Las pruebas realizadas con varios tipos de clientes ponen de manifiesto esta deficiencia.
Los clientes rechazan un certificado cuando el nombre de host solicitado no figura en el campo «nombre alternativo del sujeto». Esto suele ocurrir cuando se accede a un servicio mediante una dirección IP o un nuevo alias que no está incluido en el certificado.
Los clientes más antiguos que solo admiten TLS 1.0 o 1.1, o los servidores que desactivan los algoritmos de cifrado que ofrece un cliente, fallan con errores de establecimiento de conexión. Las capturas de paquetes suelen mostrar una alerta justo después del «client hello».
Los clientes de DNS sobre TLS fallan o recurren al DNS sin cifrar cuando un cortafuegos bloquea el puerto TCP 853. El resultado es una resolución errónea o una pérdida silenciosa del cifrado, dependiendo de la configuración del cliente.
Términos relacionados
Establecimiento de modelos de flujo de trabajo y aprobación de IPAM regulados y preparados para auditorías para las redes de la organización
Descubre soluciones de gestión de direcciones IP para flujos de trabajo de IPAM regulados y preparados para auditorías. Habilita aprobaciones por ámbitos…
Content Hub Comprender el modelo OSI: dónde encajan el DNS y el direccionamiento IP dentro de las 7 capas
Comprende las siete capas del modelo OSI y cómo encajan en ellas el DNS y el direccionamiento IP. Aprende los fundamentos de la arquitectura de redes con…
Escalabilidad del DNS y la gestión de direcciones IP (IPAM) para redes empresariales IPv6 y de doble pila
Amplíe el DNS y el IPAM para redes empresariales de doble pila. Descubra cómo Micetro ayuda a los equipos a gestionar las migraciones a IPv6 con sistemas…
Integración de DNS, DHCP e IPAM en flujos de trabajo de infraestructura como código basados en Ansible y Git
La integración de DNS, DHCP e IPAM en los flujos de trabajo de IaC basados en Ansible y Git con Micetro convierte los cambios de direcciones y registros en…
Podcast Podcast: Cómo la IA está cambiando el desarrollo de software empresarial
La IA transforma la automatización de redes, pero una implementación segura requiere sólidas prácticas de software, pruebas y experiencia en el ámbito…
Podcast Podcast: Por qué las plataformas abiertas son importantes en las operaciones de red
Las plataformas abiertas y la arquitectura «API-first» permiten operaciones de red inteligentes, automatización y flujos de trabajo impulsados por IA en…
Obtenga respuestas a partir de los datos de LiveNX que ya tiene con LiveAssist
Descubre cómo LiveAssist, el complemento basado en IA para LiveNX, convierte tus datos de red en respuestas rápidas y guiadas, con un valor que podrás…
Oferta de dispositivos LiveWire GEN3
BlueCat LiveWire es una plataforma de captura de paquetes y análisis forense de redes que ofrece una visibilidad profunda a nivel de paquetes en entornos…