Cómo Cifrar su Tráfico

Pequeña introducción a los Certificados e.j: Pasaporte de Internet

El protocolo TLS (anteriormente conocido como SSL) es una forma en la que el servidor y el cliente pueden intercambiar información sin que nadie más intercepte las comunicaciones. Es lo que nuestros navegadores entienden cuando abrimos un enlace https.

Adicionalmente para tener una conversación privada entre entre el servidor y el cliente, nuestro navegador también necesita saber que está hablando con el servidor legitimo, y no con otro que se esté haciendo pasar por él. Esto, después del cifrado, es la otra parte del protocolo TLS.

Para que tu servidor pueda hacer esto, no sólo necesita el software para TLS, ej.: el módulo mod_ssl, si no también alguna prueba de identidad en Internet. A esto nos referimos comúnmente como certificado. Básicamente, todos tenemos el mismo mod_ssl y con él, podemos cifrar, pero solamente tú tienes tu certificado, y con él, tú eres tú. Es decir es una prueba de identidad de quien es, en este caso, el servidor.

Un certificado es la equivalencia a un pasaporte. Contiene dos cosas: Un sello de aprobación de la persona que ha expedido el pasaporte, y una referencia a tus huellas digitales, ej.: Lo que se llama clave privada en términos de cifrado.

Cuando se configura Apache httpd para que use enlaces https, necesitas dotarlo de un certificado y su clave privada. Si esta clave privada no es desvelada a nadie, sólo tú podrás probar que dicho certificado te pertenece. En ese sentido, un navegador hablando con el servidor por segunda vez, puede reconocer que es sin duda el mismo servidor con el que se ha estado comunicando previamente.

Pero, ¿cómo se sabe que es un servidor legítimo la primera vez que se comunica con alguien? Aquí es donde entra en juego el sello digital. Este sello digital lo crea otra entidad o autoridad, utilizando su propia clave privada. Esta entidad o autoridad, también tiene su propio certificado ej.: su propio pasaporte. El navegador puede asegurarse de que este pasaporte se basa en la misma clave que se usó para su sello digital. Ahora, a parte de comprobar si el de nuestro servidor es correcto, también tiene que asegurarse que el pasaporte de la entidad o autoridad del sello de nuestro pasaporte es correcta.

Y ese pasaporte, también esta sellado digitalmente por otro con un certificado y una clave. Por lo que el navegador sólo tendrá que cerciorarse de que ese es un certificado correcto.

Y ese pasaporte, tendrá también un sello de identidad digital emitido por otro tercero con su clave y su certificado. Por lo tanto, el navegador sólo tendrá que cerciorarse que ese es el correcto, para confiar en el que ofrece nuestro servidor. Este juego de confianza puede llegar desde unos pocos a varios niveles (normalmente menos de 5).

Al final, el navegador va ha encontrarse con un certificado sellado con su propia clave. Es un certificado, que como diría Gloria Gaynor, dice "Soy lo que soy". El navegador entonces decidirá si confiar o no en él. Si no, su servidor no será de confianza. De lo contrario, lo será. Así de simple.

Esta comprobación de confianza para Gloria Gaynor en Internet, es fácil: tu navegador (o tu sistema operativo) vienen con una lista de pasaportes en los cuales confiar, es decir preinstalados. En caso de encontrar el certificado de Gloria en la lista, se confiará o no en él.

Todo esto funcionará correctamente siempre y cuando cada cual mantenga su clave privada para sí, y no la comparta ni publique. Ya que cualquiera que obtenga dicha clave privada, puede suplantar a la entidad o persona propietaria de dicha clave. Y si el propietario de dicha clave puede firmar certificados (validarlos) el impostor también podrá hacer eso. Así que todos los pasaportes que haya sellado el impostor, serán 100% válidos, e indistinguibles de los reales.

Este modelo funciona, pero tiene sus limitaciones. Es por eso que los desarrolladores de los navegadores están tan interesados en tener una lista con la correcta Gloria Gaynor, y amenazan con expulsar a cualquiera que sea descuidado con su clave.

Comprar un Certificado

Puedes comprar uno. Hay muchas compañías vendiendo pasaportes de Internet (certificados) como servicio. En esta lista de Mozilla, podrás encontrar todas las compañías en las que el navegador Firefox confía. Escoge una, visita su página web y te dirán los diferentes precios, y cómo hacer para demostrar que eres quien dices ser, y así podrán marcar tu certificado con un sello de confianza.

Todos tienen sus propios métodos,también dependiendo de qué tipo de pasaporte pidas, puedes configurarlo normalmente a base de clics en su web. Una vez que hayas terminado te enviarán un email con los pasos siguientes. Al fin y al cabo ellos te enseñarán como generar tu propio certificado, así como tu propia clave privada y ellos te expedirán un certificado sellado que coincida.

Finalmente tendrás que poner tu clave en un fichero y tu certificado en otro. Ponerlos en tu servidor, cerciorarte de que solo un usuario de confianza tiene acceso a estos ficheros (comprobando los permisos), y que dicho usuario pueda añadirlo a la configuración de httpd. Todo esto se describe en SSL How-To.