Secure Socket Layer (SSL)

El protocolo Secure Sockets Layer (SSL) es un protocolo de capa de aplicación desarrollado por Netscape para gestionar la seguridad de la transmisión de mensajes en Internet. Se utiliza para proporcionar un mecanismo de autenticación seguro entre dos aplicaciones que se comunican, como un cliente y un servidor. SSL requiere un protocolo de transporte confiable, como TCP, para la transmisión y recepción de datos. Utiliza el cifrado asimétrico RSA (clave pública) para cifrar los datos transferidos a través de conexiones SSL.

Cualquier protocolo de capa de aplicación superior a SSL, como HTTP, FTP y telnet, puede formar una capa transparente sobre SSL. SSL actúa como árbitro entre el algoritmo de cifrado y la clave de sesión; también verifica el servidor de destino antes de la transmisión y recepción de datos. SSL encripta los datos completos del protocolo de la aplicación para garantizar la seguridad.

SSL también ofrece "seguridad de canal" con tres propiedades básicas:

• Canal privado: Todos los mensajes se cifran después de que se utiliza un simple handshake para definir una clave secreta.

• Canal autenticado: el extremo del servidor de la conversación siempre se cifra, mientras que el extremo del cliente se autentica opcionalmente.

• Canal confiable: la transferencia de mensajes tiene una verificación de integridad.

SSL Handshake Protocol Flow

 Los procesos ejecutados en el protocolo de enlace de tres vías son los siguientes:

1. El cliente envía un mensaje de saludo al servidor, al que el servidor debe responder con un mensaje de saludo, o la conexión fallará debido a la ocurrencia de un error fatal. Los atributos establecidos debido al saludo del servidor y del cliente son la versión del protocolo, el ID de la sesión, el conjunto de cifrado y el método de compresión.

2. Una vez establecida la conexión, el servidor envía un certificado al cliente para su autenticación. Además, el servidor puede enviar un mensaje de intercambio de clave de servidor. En la autenticación del servidor, puede solicitar el certificado al cliente (si corresponde para el conjunto de cifrado seleccionado).

3. El servidor envía un mensaje de "hola, hecho" para informar al cliente que la fase de reconocimiento ha finalizado y espera la respuesta del cliente.

4. Si el cliente recibe un mensaje de solicitud de certificado, el cliente debe responder al mensaje enviando un mensaje de certificado o una alerta "sin certificado". El servidor envía el mensaje de intercambio de claves del cliente. El contenido del mensaje depende del algoritmo de clave pública entre el servidor hello y el cliente hello. Si el certificado enviado por el cliente tiene capacidad de firma, un certificado firmado digitalmente verifica el mensaje y el cliente lo transmite.

5. El cliente transmite el mensaje de especificación de cifrado modificado y copia la especificación de cifrado pendiente en la especificación de cifrado actual. El cliente envía un mensaje para iniciar la finalización del mensaje con el nuevo algoritmo, claves y secretos.

6. En respuesta, el servidor responde enviando su propio mensaje de especificación de cifrado modificado, transfiere la especificación de cifrado pendiente a la especificación de cifrado actual e inicia la finalización del mensaje con la nueva especificación de cifrado. En este punto, el protocolo de enlace se completa y el servidor comienza a intercambiar los datos de la capa de aplicación.

La reanudación de una sesión anterior o la replicación de una sesión existente se realiza de la siguiente manera:

• El cliente inicia la comunicación enviando un mensaje de saludo con el ID de sesión de la sesión que se quiere retomar.

• Si el servidor encuentra una coincidencia, restablece la sesión en el estado de sesión especificado con el mismo ID de sesión.

• En este punto, tanto el servidor como el cliente intercambian los mensajes de especificaciones modificadas y proceden directamente a los mensajes terminados.

• Después del restablecimiento, el servidor y el cliente intercambian datos en la capa de aplicación.

• Si la ID de sesión no existe, el servidor crea una nueva ID de sesión. A continuación, el cliente y el servidor SSL llevan a cabo un protocolo de enlace completo.