Qué hace seguro a un protocolo

La autenticación tiene como objetivo establecer la identidad de las partes que se comunican. Sin autenticación, un protocolo es vulnerable a la suplantación de identidad: un atacante puede hacerse pasar por un servidor de confianza e interceptar las comunicaciones. La autenticación en los protocolos suele lograrse mediante certificados digitales, claves precompartidas o mecanismos de desafío-respuesta que demuestran que se conoce un secreto sin revelarlo.

La confidencialidad garantiza que el contenido de los mensajes solo sea accesible para los destinatarios previstos. Se consigue mediante el cifrado con claves que solo conocen las partes implicadas. Una vulneración de la confidencialidad significa que un intruso puede leer los mensajes en tránsito. La confidencialidad por sí sola no impide que un atacante manipule los mensajes ni que realice ataques de repetición; debe combinarse con protección de la integridad.

La protección de la integridad garantiza que los mensajes recibidos sean exactamente los que transmitió el remitente, sin adiciones, eliminaciones ni modificaciones. Los códigos de autenticación de mensajes y los modos de cifrado autenticado proporcionan integridad. Sin protección de la integridad, un atacante que no pueda leer el texto cifrado todavía podría invertir determinados bits de forma predecible para modificar el texto plano descifrado, como se aprovecha en los ataques de oráculo de relleno.

El no repudio significa que un remitente no puede negar posteriormente haber enviado un mensaje. Se consigue mediante firmas digitales que utilizan claves asimétricas: solo quien posee la clave privada podría haber producido la firma, y la clave pública correspondiente la verifica. Los MAC no proporcionan no repudio porque tanto el remitente como el receptor conocen el secreto compartido y cualquiera de los dos podría haber producido el MAC.

La frescura garantiza que un mensaje antiguo que antes era válido no pueda ser repetido por un atacante para provocar de nuevo el mismo efecto. Entre los mecanismos de frescura se incluyen los nonces, valores aleatorios incluidos en los mensajes que no deben repetirse; las marcas de tiempo con ventanas de validez reducidas; y los números de secuencia, que deben ser estrictamente crecientes. Sin frescura, repetir un mensaje de autenticación capturado puede eludir por completo la autenticación.

El secreto perfecto hacia adelante garantiza que el compromiso de las claves de largo plazo no exponga las claves de sesiones anteriores. Se consigue generando pares de claves efímeras (temporales) para cada sesión mediante Diffie-Hellman. Las claves de sesión se calculan a partir de las claves efímeras y se descartan después de usarlas. Aunque posteriormente roben la clave privada de largo plazo del servidor, el atacante no puede descifrar las sesiones registradas anteriormente porque las claves efímeras ya no existen.

La autenticación unidireccional verifica solo a una de las partes: en HTTPS, el servidor presenta un certificado que el cliente verifica, pero normalmente el servidor no verifica la identidad del cliente. La autenticación mutua (o TLS mutuo, mTLS) requiere que ambas partes presenten y verifiquen certificados. mTLS es habitual en arquitecturas de microservicios, puertas de enlace de API y VPN empresariales, donde es necesario verificar ambos extremos antes de intercambiar datos confidenciales.

Los diseñadores de protocolos no pueden basarse únicamente en la intuición. Un protocolo que parece obviamente seguro puede fallar de maneras sutiles. El protocolo de clave pública Needham-Schroeder se publicó en 1978 y se consideraba seguro. En 1995, Gavin Lowe descubrió un fallo que permitía un ataque de suplantación mediante una herramienta de verificación formal. La verificación formal con model checkers como Tamarin o ProVerif se ha convertido en una práctica habitual para diseñar protocolos críticos para la seguridad.

El modelo de Dolev-Yao es el modelo de amenazas estándar para analizar protocolos criptográficos. Supone que el atacante controla toda la red: puede interceptar, bloquear, modificar, repetir e inyectar cualquier mensaje. Se considera que las primitivas criptográficas son perfectas (sin debilidades matemáticas). En este modelo, un protocolo solo es seguro si alcanza sus objetivos incluso cuando el atacante tiene el control total de todas las comunicaciones.

Diseñar protocolos criptográficos es especialmente difícil porque los fallos suelen ser sutiles y no evidentes. La interacción de múltiples mensajes, valores nonce, marcas de tiempo y claves puede crear vías de ataque inesperadas. Los participantes pueden tener distintas percepciones del estado del protocolo. Las sesiones simultáneas pueden interferir entre sí. Todos los protocolos importantes desplegados, incluidos SSL, TLS, WPA2 y 802.11, han tenido vulnerabilidades significativas descubiertas después de su despliegue.

SSL 3.0 quedó comprometido por el ataque POODLE. TLS 1.0 y 1.1 quedaron obsoletos debido a múltiples debilidades. El cifrado WiFi WEP quedó completamente comprometido durante su primer año de despliegue. La VPN PPTP se considera insegura debido a las debilidades de MS-CHAPv2. Cada fallo enseñó algo a la comunidad de seguridad sobre la diferencia entre las intuiciones informales de seguridad y el diseño de protocolos cuya corrección se puede demostrar bajo el modelo de Dolev-Yao.

¿Qué propiedad de seguridad garantiza que un mensaje registrado hoy por un atacante no pueda reenviarse correctamente al servidor más adelante para repetir una acción?

Los protocolos seguros deben proporcionar autenticación, confidencialidad, integridad, no repudio y frescura. El secreto perfecto hacia adelante protege las sesiones anteriores frente a un futuro compromiso de las claves. La autenticación mutua verifica a ambas partes. El modelo de Dolev-Yao supone una red completamente controlada por un adversario. El diseño de protocolos requiere verificación formal, no solo intuición. Todos los protocolos importantes han tenido vulnerabilidades descubiertas después de su despliegue, lo que ha impulsado la evolución continua de los estándares criptográficos.