Certificado SSL/TLS: Qué es, cómo funciona y sus tipos

Un certificado de Capa de Sockets Seguros o SSL (Secure Sockets Layer) es un aval digital que verifica la identidad de una página web y garantiza una conexión cifrada entre un servidor web y un navegador. Estos certificados digitales son emitidos por una autoridad de certificación mediante un sistema criptográfico llamado Infraestructura de Claves Públicas o PKI (Public Keys Infrastructure).

En este sentido, el certificado impide que ciberdelincuentes puedan acceder y modificar la información que se transmite entre dos sistemas informáticos (datos personales, números de tarjetas de crédito, direcciones, contraseñas), por lo que ayudan a proteger los datos personales y distintos tipos de información confidencial.

Estos certificados funcionan como una tarjeta de identidad que contiene información legítima y verificada sobre el propietario de una página web y que protege las conexiones a la misma. Deben incluir los siguientes datos: 

• El nombre de dominio; es decir, el nombre del sitio web para el cual se emite el certificado
• Los subdominios asociados
• El nombre de la empresa que actúa como autoridad de certificación y su firma digital
• Periodo de validez del certificado, demarcado por la fecha de emisión y la fecha de vencimiento del mismo
• La clave pública del titular del certificado
• La versión; es decir, si se trata de un certificado SSL o TLS

TLS son las siglas de Seguridad de la Capa de Transporte (Transport Layer Security). Se trata del sucesor del protocolo SSL y, al igual que este, proporciona un canal seguro de transmisión de datos cifrados entre un navegador y un servidor web. Dicho de otra forma, los certificados TLS son los que se utilizan para proteger las comunicaciones en la actualidad. 

A pesar de que existen diferencias técnicas entre el protocolo SSL original y el TLS, ambos términos suelen utilizarse para hacer referencia a lo mismo. También es común utilizarlos en conjunto como SSL/TLS.

¿Quién valida los certificados SSL/TLS?

Las autoridades de certificación son las organizaciones encargadas de vender certificados SSL/TLS a los propietarios de sitios web y empresas con comercios electrónicos, entre otros. Estas organizaciones deben investigar y validar los detalles del dominio y de su propietario para poder emitir el certificado y garantizar la seguridad de la red.

Cualquier empresa o departamento de una empresa puede convertirse en autoridad de certificación. Por ejemplo, Amazon Trust Services es una dependencia de Amazon que puede emitir certificados SSL/TLS. Las empresas Thawte y GeoTrust son otros ejemplos.

El objetivo de este proceso es crear conexiones seguras, y así generar seguridad entre los usuarios de Internet. Por ello, para ser una autoridad de certificación se debe cumplir con una serie de requisitos establecidos por la empresa dueña del sistema operativo, los navegadores web o los dispositivos móviles, y solicitar ser incluidos como una autoridad de certificación raíz.

¿Cuál es el periodo de validez de un certificado TLS?

Actualmente, los certificados TLS tienen un periodo de validez de 13 meses. Este periodo se ha ido acortando con el tiempo, ya que de esta forma se reduce la posibilidad de que haya un uso indebido del certificado. Por ejemplo, podría evitarse que un agente malicioso utilice un certificado TLS válido de un dominio en desuso para crear un sitio web nuevo no autorizado.

Una vez que estos certificados digitales vencen, quienes visiten el sitio web verán una advertencia en su navegador que indica que el sitio web no es seguro. Idealmente, el proceso de renovación del certificado debería llevarse a cabo antes de que esto ocurra para evitar incidentes de seguridad y mantener la confianza de los usuarios que visiten el sitio web.

Los certificados TLS utilizan algoritmos complejos para cifrar datos sensibles que se comparten entre los usuarios y un servidor o sitio web, de manera que un cibercriminal no podría utilizarlos si los intercepta. Básicamente, estos certificados activan un canal seguro para la transferencia de información confidencial en la web.

El funcionamiento de los certificados se puede resumir de la siguiente forma:

• Un navegador (como por ejemplo Google Chrome o Firefox) establece conexión con un sitio web o servidor web que utiliza un certificado TLS.
• El navegador solicita que el sitio web proceda a identificarse.
• Como respuesta, el sitio web le envía una copia del certificado TLS al navegador.
• Posteriormente, el navegador analiza la autenticidad del certificado TLS. 
• Si el certificado es confiable, el navegador envía una señal al sitio web.
• Luego, el servidor web envía un reconocimiento firmado para que se pueda iniciar una sesión cifrada a través del protocolo TLS.
• Por último, los datos encriptados son compartidos únicamente entre el navegador o servidor y el sitio o servidor web.

Principios clave de los certificados TLS

La tecnología que permite la emisión de certificados SSL/TLS se basa en tres principios básicos: la encriptación o cifrado, la autenticación y el uso de firmas digitales.

Cifrado

El cifrado o encriptación consiste en modificar el texto original que debe enviarse bajo una serie de reglas conocidas solo por el emisor y el receptor del mensaje (por ejemplo, mover las letras del alfabeto tres lugares hacia atrás, de manera que la «d» se escribiría como «a»). En el caso del protocolo TLS, se utilizan dos tipos de claves para cifrar los mensajes: la clave pública y la clave privada.

• Clave pública: es aquella que el servidor web muestra en su certificado SSL/TLS, de forma que el navegador puede utilizar esta clave para cifrar la información que le envía al servidor web.
• Clave privada: esta clave solo es conocida por el servidor web, y es necesaria para descifrar los mensajes encriptados con la clave pública. A su vez, los mensajes encriptados con la clave privada solo pueden ser descifrados con la clave pública.

Esta dualidad, en la que la clave pública solo puede descifrar un archivo cifrado por la clave privada, garantiza que tanto el receptor como el emisor son quienes dicen ser.

Autenticación

Al verificar la identidad del servidor web en el certificado TLS, emitido por una autoridad de certificación que actúa como un tercero de confianza, el navegador puede saber que son realmente quienes dicen ser.

Firmas digitales

Cada certificado TLS tiene un número único que lo identifica, llamado firma digital. Al recibir su certificado, los servidores crean una nueva firma digital y la comparan con la recibida, para asegurarse que el certificado no ha sido manipulado en la web.

Existen múltiples tipos de certificados que difieren en cuanto al nivel de validación, por lo que pueden clasificarse como: certificados de validación extendida, certificados validados por la organización y certificados de validación de dominio. Adicionalmente, los certificados SSL/TLS pueden clasificarse según el tipo de dominio que admiten en: certificados de dominio único, certificados comodín y certificados multi dominio. 

Dependiendo de estas características, varía el nivel de seguridad que ofrecen, así como su costo.

Certificados de validación extendida (Certificado EV)

Los certificados de validación extendida (EV) son los más seguros, pues poseen el nivel más estricto de validación y cifrado, y también los más costosos. Para obtener un certificado EV, el propietario del sitio web está sujeto a controles estandarizados y rigurosos por parte de las autoridades de certificación para verificar su identidad y los derechos que posee sobre el dominio web.

Este tipo de certificado digital es ampliamente utilizado por organizaciones que deben manejar datos sensibles, como números de tarjetas de crédito para realizar pagos online, o información personal para una ficha médica. 

Certificados validados por la organización (Certificado OV)

Los certificados validados por la organización o de validación organizacional (OV TLS) siguen a los certificados EV en cuanto a su nivel de seguridad, pues poseen un nivel medio de cifrado y costo. Estos certificados requieren un proceso de validación de la identidad del dueño del sitio web ante las autoridades de certificación, pero no es tan riguroso como en el caso de los certificados EV.

Suelen ser utilizados por sitios web que requieren un alto nivel de seguridad, pero no cuentan con los recursos para obtener un certificado EV. Un ejemplo de ello pueden ser las startups, pymes y comercios electrónicos.

Certificados de validación de dominio (Certificado DV)

Los certificados de validación de dominio (DV) tienen el nivel más bajo de validación, con encriptación mínima y el menor costo. El proceso de validación requerido para obtenerlo es mucho más laxo, en el cual el solicitante demuestra que posee la propiedad del dominio respondiendo un correo electrónico o una llamada telefónica. Por ello, no contiene la información completa de la organización solicitante, a diferencia de los certificados EV y OV.

Los sitios web informativos (por ejemplo, blogs) son los que más utilizan certificados DV, pues no manejan información confidencial de sus usuarios.

Certificados de dominio único

Los certificados de dominio único se caracterizan por proteger un único dominio o subdominio, independientemente del nivel de protección que puede ofrecer. El dominio es la dirección URL principal de un sitio web, mientras que un subdominio tiene una extensión de texto antes del nombre del dominio principal. Por ejemplo, blog.ejemplo1.com es un subdominio de ejemplo1.com.

Certificados comodín (Wildcard)

Los certificados comodín se caracterizan por garantizar la protección de un dominio web y todos sus subdominios. Así, por ejemplo, si una organización obtiene un certificado TLS comodín para el dominio ejemplo1.com, este protege también los subdominios blog.ejemplo1.com y tienda.ejemplo1.com.

De esta forma, puedes proteger múltiples dominios por el costo de un único certificado comodín, lo cual es mucho más rentable que obtener un certificado TLS para cada dominio por separado.

Certificados multidominio (MDC)

Los certificados multidominio (MDC), también llamados certificados de comunicaciones unificadas (UCC), permiten proteger varios nombres de dominio en un mismo certificado, siempre y cuando estos estén alojados en el mismo servidor o en diferentes servidores de un mismo propietario. Por ejemplo, se podría adquirir un MDC para proteger http://ejemplo1.com, dominio5.mx y blog.ejemplo9.net.

Este tipo de certificados puede ofrecer seguridad del nivel de un certificado EV para todos los dominios, si están configurados para ello.

‍

Identificar los sitios web que poseen certificados TLS es el primer paso para saber si ofrecen una conexión segura o no. Es de suma importancia conocer la diferencia para evitar proporcionar datos personales a una plataforma desprotegida y vulnerable a ciberataques.

Algunas de las maneras de saber cuando un sitio web está protegido por un certificado digital son:

• En el URL aparecen las siglas HTTPS, de HyperText Transfer Protocol Secure (protocolo de transferencia de hipertexto seguro). Los sitios y servidores web que no tienen un certificado TLS tienen solo las siglas HTTP, sin la «S» de seguro, lo que implica que transmite datos no cifrados.

• Se muestra un ícono de candado cerrado en la barra del navegador, y haciendo clic sobre el mismo se despliega un menú de opciones donde se pueden llegar a ver los detalles del certificado SSL/TLS.

• Cuando un sitio web no posee un certificado TLS válido, el navegador muestra un mensaje diciendo que «la conexión no es privada», especialmente si el sitio al que se desea acceder requiere algún tipo de registro o información confidencial.

Otra forma de aviso que los navegadores muestran cuando una conexión no es segura es utilizando un ícono de candado abierto en lugar de cerrado, o un candado de color rojo. También pueden sustituir el candado por un ícono triangular de peligro, o pasar una línea de color rojo el inicio de la dirección web para remarcar el HTTP.

Si tu sitio web requiere que los usuario inicien una sesión ingresando datos personales, o provee información confidencial (como información financiera o médica), es necesario que esa información se mantenga segura y privada. Esa es la función de los certificados TLS, y su obtención implica una serie de beneficios para los propietarios:

Mantener los datos cifrados

El hecho de transmitir información cifrada implica que, aunque un ciberatacante logre interceptar la comunicación, no obtendrá los datos que desea, sino un texto ilegible. Esto garantiza la privacidad de la conexión y la integridad del mensaje, pues evita que un agente malicioso manipule los datos transmitidos.

Sin el cifrado, la información puede ser interceptada o manipulada por un ciberdelincuente, la cual puede ser utilizada para robar la identidad de la víctima o vender sus datos en la dark web. Por eso, es sumamente importante evitar compartir información privada en sitios web que no cuenten con un certificado TLS.

Generar confianza en los usuarios

Las advertencias de seguridad que aparecen en los sitios web que no cuentan con certificados TLS pueden ser suficiente para que un cliente decida no realizar compras en su comercio electrónico, o para que la reputación de la empresa se vea comprometida. Tener estos certificados, y contar con los indicadores visuales de que el sitio web es seguro, hace que los clientes sepan que la empresa se preocupa por su seguridad y se sienta más cómodo utilizando sus servicios.

Mejorar el posicionamiento del sitio web

Los principales motores de búsqueda (como Google, por ejemplo) han utilizado la presencia del HTTPS como un factor de clasificación. Esto quiere decir que un sitio web que utilice el protocolo de protección TLS tendrá un lugar más alto en el ranking y, por lo tanto, más visibilidad en los motores de búsqueda. Y más visibilidad implica, por supuesto, más tráfico para el sitio web.

Considerando que la mayoría de los sitios web poseen certificados TLS, el no tenerlo se convierte en una gran desventaja, pues su sitio web bajaría considerablemente en las listas de búsquedas y recibiría menos visitantes.

Cumplir con el estándar PCI DSS

Dependiendo del tipo de datos que un sitio web recopile y procese, y del país donde esté registrada la empresa que es dueña del mismo, la instalación de un certificado TLS puede ser obligatoria. Esto aplica sobre todo para comercios electrónicos que aceptan pagos en línea y para plataformas online de instituciones financieras. 

Este tipo de empresas deben cumplir con el PCI DSS (Payment Card Industry Data Security Standard o estándar de seguridad de datos de la industria de tarjetas de pago), y este a su vez recomienda la instalación de TLS en sus versiones 1.2 o 1.3 para garantizar la seguridad de los datos financieros de los clientes.

Asegurar la autenticidad del sitio web

Poseer un certificado TLS implica que un tercero de confianza (la autoridad de certificación) ha comprobado la autenticidad del sitio web, mediante la verificación de la información del propietario del mismo. Visitar un sitio web que no ha sido autenticado de esta forma puede ser riesgoso, pues puede tratarse de un sitio web de phishing o contener algún otro tipo de malware. 

‍

Con la cantidad de ciberataques que ocurren cada día, y las posibles consecuencias de los mismos, las empresas grandes y pequeñas no pueden darse el lujo de tener un sitio web desprotegido. La ciberseguridad debe ser una prioridad, no solo por la confianza que genera en sus clientes, sino también para evitar incidentes que comprometan sus servicios y actividades comerciales.

En Delta Protect nos encargamos de simplificar, optimizar y automatizar la ciberseguridad de tu pyme o startup con soluciones como Apolo. Si quieres conocer un poco más sobre los servicios que ofrecemos de forma personalizada, agenda una demo de Apolo con nuestros expertos.