TLS abandona todas sus versiones anteriores a TLS 1.2
El aumento de la seguridad en internet ha acabado con dos nuevos protocolos. Como ya hemos comentado alguna vez, en demasiados casos algunos servicios de internet no avanzan al mismo ritmo que la propia red. Si hace algunos días comentábamos acerca de la necesidad de actualización del protocolo WPA3, hoy es TLS quien abandona su primera versión y recomienda el uso de TLS 1.2.
Qué es TLS
TLS, Transport Layer Security, es un protocolo criptográfico que, al igual que SSL, permite una comunicación segura en internet. De hecho, el protocolo TLS está basado en SSL. Concretamente TLS está basado en especificaciones previas de SSL en un intento por agregar el protocolo HTTPS al navegador. Y de aquello han pasado ya casi 20 años, ya que TLS nació en 1999.
El hecho de que TLS esté creado a partir de SSL no quiere decir que ambos protocolos sean iguales. Si bien es cierto que entre ellos existen diferencias mínimas, estas son suficientes para la interoperabilidad de los protocolos, debilitando así la seguridad de la comunicación.
Aunque TLS debió haber dejado de existir hace dos años, como ocurre con otros servicios el tiempo de soporte se amplió. Y es que, si el protocolo hubiera muerto en 2016, cientos de comercios electrónicos hubieran dejado de funcionar. Por ello, se otorgaron dos años de gracia en los que los usuarios pudieran ir adaptándose a la última versión. Pero, como siempre ocurre, habrá quien se haya acomodado en su obsoleta versión y ahora tenga que afrontar el cambio con prisa.
La versión TLS 1.2
La recomendación en este momento es utilizar TLS 1.2, la última versión del protocolo; aunque fue definida en agosto de 2008 y, desde 2011, apenas ha sufrido modificaciones. Exceptuando el Ataque Poodle ocurrido en octubre de 2014. Una vulnerabilidad del protocolo SSL 3.0 que, a los pocos meses, atacaba a TLS. Para cuando este ataque de tipo MITM (man-in-the-middle) llegó a TLS los servidores eran más vulnerables y, para iniciar el ataque, eran necesarios menos pasos que con SSL 3.0.
Actualmente, TLS 1.2 es el protocolo encargado de la mayoría de las encriptaciones que se producen en la web. Desde webmails como Gmail, acceso vía FTP o sFTP o para utilizar una VPN. Por ello, y a pesar de su longevidad, es necesario actualizar los navegadores a TLS 1.2. De otra manera, no podría accederse a tiendas online que utilicen versiones inferiores para proteger su pasarela de pago.
El riesgo de la desactualización
En este caso, no recurrir a TLS 1.2 podría hacer que se hiciera uso de los exploits del protocolo para interceptar los mensajes y poner en peligro las comunicaciones. De ahí que algunos servicios, como PayPal, no permitan realizar transacciones en esta versión del protocolo TLS.
La mejor forma de protegerse frente a ciberataques es mantener el sistema actualizado; además de contar con una copia de seguridad de todos tus datos. Las versiones antiguas tanto de aplicaciones como de protocolos suponen un riesgo para negocios y usuarios.