Handshake de TLS 1.3 y reanudación 0-RTT

TLS 1.3, publicado en 2018 (RFC 8446), se diseñó para corregir las debilidades que se habían acumulado en TLS 1.2 durante una década de ataques en entornos reales. Las versiones anteriores permitían negociar conjuntos de cifrado débiles, admitían criptografía de nivel de exportación y requerían varios intercambios de ida y vuelta antes de poder transmitir datos. TLS 1.3 elimina todos los algoritmos obsoletos y simplifica el handshake a un único intercambio de ida y vuelta en el caso normal, lo que mejora considerablemente tanto la seguridad como el rendimiento.

En TLS 1.3, el cliente y el servidor completan el handshake en 1-RTT (un intercambio de ida y vuelta). El cliente envía un ClientHello que incluye los conjuntos de cifrado compatibles y un intercambio de claves (mediante Diffie-Hellman). El servidor responde con un ServerHello, su propio intercambio de claves, un certificado y los primeros datos de aplicación cifrados, todo en un único envío. A continuación, el cliente verifica el certificado y envía un mensaje Finished antes de intercambiar datos de aplicación.

TLS 1.3 exige el intercambio de claves efímeras; eliminó por completo el intercambio de claves RSA. Todo intercambio de claves debe utilizar ECDHE (Elliptic Curve Diffie-Hellman Ephemeral) o DHE (Diffie-Hellman Ephemeral). La palabra «efímero» significa que se genera un nuevo par de claves para cada sesión. Esta es la base del secreto perfecto hacia adelante: si se compromete la clave privada de larga duración del servidor, no se pueden descifrar las sesiones anteriores porque cada sesión utilizó una clave temporal única.

El secreto perfecto hacia adelante (PFS) garantiza que, aunque un atacante registre hoy todo el tráfico cifrado y obtenga la clave privada del servidor en el futuro, no pueda descifrar las sesiones antiguas. En TLS 1.2 con intercambio de claves RSA, la clave privada del servidor podía descifrar el secreto previo a la clave maestra de cualquier sesión pasada, lo que constituía un fallo catastrófico. Las claves DH efímeras de TLS 1.3 hacen que cada sesión derive sus propias claves, y esas claves efímeras se descartan después de utilizarse.

TLS 1.2 admitía más de 300 conjuntos de cifrado, muchos de ellos débiles o vulnerables. TLS 1.3 reduce esta cifra a solo cinco conjuntos de cifrado, todos ellos basados en AEAD (Authenticated Encryption with Associated Data): TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256, TLS_AES_128_CCM_SHA256 y TLS_AES_128_CCM_8_SHA256. Esto elimina categorías completas de ataques, como BEAST, POODLE y FREAK, que aprovechaban la negociación de cifrados débiles.

La reanudación 0-RTT (Zero Round Trip Time) es una función opcional de TLS 1.3 que permite al cliente enviar datos de aplicación en el primer mensaje, antes de que se complete el handshake. Funciona mediante una clave precompartida (PSK) de una sesión anterior. Aunque 0-RTT reduce considerablemente la latencia —algo fundamental para las API con mucho tráfico—, introduce una desventaja importante: los datos iniciales no están protegidos contra ataques de repetición.

En un ataque de repetición contra datos 0-RTT, un atacante que intercepte el mensaje de datos iniciales puede reenviarlo al servidor y provocar potencialmente que la misma acción se ejecute dos veces (por ejemplo, un pago o un cambio de estado). La especificación de TLS 1.3 advierte explícitamente que los datos iniciales 0-RTT solo deben transportar operaciones idempotentes, es decir, operaciones que producen el mismo resultado independientemente del número de veces que se ejecuten, como una solicitud GET. Las operaciones no idempotentes (POST, DELETE) nunca deben utilizar 0-RTT.

Después de un handshake completo y correcto de TLS 1.3, el servidor envía un mensaje NewSessionTicket que contiene una PSK (Pre-Shared Key) que el cliente almacena. Al volver a conectarse, el cliente incluye esta PSK en su ClientHello mediante la extensión pre_shared_key. El servidor la reconoce y aprueba los datos 0-RTT o vuelve a la reanudación 1-RTT. Los tickets PSK tienen una duración limitada y deben rotarse con frecuencia para limitar el periodo durante el que están expuestos.

Una mejora importante de TLS 1.3 es que la mayor parte del handshake está cifrada, incluido el certificado del servidor. En TLS 1.2, el certificado del servidor se enviaba en texto plano, lo que permitía a un observador de la red identificar el dominio al que se conectaba el cliente. TLS 1.3 cifra el certificado y la mayoría de los mensajes posteriores del handshake, lo que reduce los metadatos disponibles para los observadores pasivos. Encrypted Client Hello (ECH) es una extensión emergente que oculta incluso el campo SNI (Server Name Indication).

TLS 1.3 eliminó numerosas funciones heredadas que se habían convertido en riesgos: el intercambio de claves RSA (sin secreto hacia adelante), los conjuntos de cifrado en modo CBC (vulnerables a ataques de oráculo de relleno), RC4 (cifrado de flujo completamente vulnerable), la criptografía de nivel de exportación (causa de FREAK y Logjam), MD5 y SHA-1 en firmas digitales, la compresión (causa de CRIME) y la renegociación (causa de múltiples ataques). Al eliminar estos elementos, TLS 1.3 tiene una superficie de ataque considerablemente menor.

Implementar TLS 1.3 correctamente requiere configurar el servidor web para que lo prefiera y deshabilitar TLS 1.0 y 1.1. La mayoría de los servidores web modernos (Nginx, Apache, IIS) admiten TLS 1.3 de forma nativa. También debe asegurarse de que OCSP Stapling esté habilitado para proporcionar el estado de revocación del certificado sin que el cliente tenga que ponerse en contacto con la CA, y de que los encabezados HSTS impidan ataques de degradación a HTTP. Utilice herramientas como SSL Labs para verificar que su configuración obtiene una calificación A+.

Ponga a prueba sus conocimientos sobre los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección aprendió que TLS 1.3 completa el handshake en 1-RTT utilizando únicamente el intercambio de claves DH efímeras para proporcionar secreto perfecto hacia adelante; que la reanudación 0-RTT permite reconectarse más rápido mediante PSK, pero es vulnerable a ataques de repetición y solo debe transportar operaciones idempotentes; y que TLS 1.3 elimina todas las funciones heredadas débiles —intercambio de claves RSA, cifrados CBC, RC4, criptografía de exportación y compresión—, reduciendo considerablemente la superficie de ataque. A continuación, exploraremos algoritmos de cifrado autenticado como AES-GCM.