Uno de los protocolos de seguridad fundamentales para la red, el que hace posibles comunicaciones seguras entre un servidor y un internauta, ha completado una profunda revisión presentando TLS 1.3 como nuevo estándar oficial. Y navegadores como Firefox o Chrome ya lo usan.
Para que puedas estar leyendo este texto en tu navegador, tanto este protocolo fundamental como tantos otros imprescindibles han entrado en acción. Hablamos de TCP, IP, UDP, DNS o HTTP/HTTPS. Sistemas de reglas que permiten una correcta comunicación entre varias partes y evolucionan, necesariamente, adaptándose a nuevas realidades.
Lo hizo en 2015 el protocolo HTTP, dando lugar a su sucesor natural, HTTP/2. Y lo hace ahora TLS 1.2, heredero del más popular SSL, resultando en TLS 1.3 (RFC 8446) e incorporando grandes mejoras en seguridad, velocidad y privacidad según explican sus responsables.
Por qué es tan importante TLS 1.3
Google Chrome anunció hace unos meses que dejará de indicar que un sitio web HTTPS "es seguro" porque eso debe ser lo normal. Los usuarios deben esperar que una web, por defecto, sea segura según entienden en Mountain View, por lo que cualquier portal debería emplear HTTPS.
Y la maquinaria bajo el capó responsable de que el mítico protocolo HTTP pueda llevar esa letra ese final que significa seguro y garantiza que el contenido que ve un visitante proviene del responsable legítimo de la página y está a salvo de monitoreos, es el protocolo TLS.
Por eso es tan importante que prácticamente una década después de la aparición de TLS 1.2, un protocolo fundamentado en gran medida en la base diseñada a mediados de los años noventa, Internet Engineering Task Force haya terminado oficialmente TLS 1.3 tras cerca de una treintena de versiones de pruebas publicando, hace unos días, la versión final. Esta promete más seguridad, rendimiento y privacidad.
Seguridad: TLS 1.3, según han explicado sus responsables, elimina gran parte de la criptografía obsoleta de su predecesor. Vulnerabilidades de alto perfil presentes en partes opcionales y anticuadas que fueron la causa de ataques reales como FREAK, Logjam y Sweet32. Este revisión se centra únicamente en algoritmos sin vulnerabilidades conocidas, habiendo estado diseñado en cooperación con la comunidad de seguridad académica. El nivel de revisión y análisis del protocolo se considera extraordinario e incluye verificaciones de la seguridad.
Privacidad: Respecto a TLS 1.2, esta revisión que muchos opinan que debería haber sido la versión 2.0 por el avance que supone, mejora enormemente el establecimiento de comunicación —handshake en inglés— encriptándolo en gran parte. Esta mejora ayuda a proteger las identidades de los participantes en las comunicaciones e impide el análisis del tráfico, según sus responsables. Además, gracias al secreto perfecto por defecto que incorpora, aseguran que las comunicaciones actuales permanecerán seguras incluso si las comunicaciones futuras resultan comprometidas.
Rendimiento: En cuanto al rendimiento, las nuevas conexiones de TLS 1.3 están diseñadas para completarse en un viaje de ida y vuelta entre el cliente y el servidor, sin necesitar de más. Incluso alguna aplicaciones pueden emplear un modo de viaje de ida y vuelta de datos cero, que permite un envío previo de información al servidor. Esta mejora y el resto "hacen que TLS 1.3 sea más rápido que nunca", dicen desde el IETF. Y es importante, porque aunque tengamos un ordenador muy potente, TLS resulta decisivo a la hora de acceder a una web.
En despliegue: Google Chrome y Mozilla Firefox ya lo incorporan
TLS 1.3, que terminó su definición en marzo y a finales de la semana pasada se publicó como el estándar que es, ya está ampliamente desplegado. Tanto Chrome como Firefox lo incorporan en una versión borrador del estándar y se encuentran trabajando en la implementación de TLS 1.3 en su forma definitiva.
Desde Mozilla esperan enviar la versión final con Firefox 63, previsto para octubre, y señalan que Cloudflare, Google y Facebook están ejecutando TLS 1.3 a día de hoy en sus servidores. Una muy buena noticia.
La telemetría de Firefox, de hecho, revela que alrededor del 5 % de las conexiones son TLS 1.3, Cloudflare reporta números similares y Facebook asegura que más de la mitad de su tráfico ya es TLS 1.3. Internet será, esperemos, más seguro, privado y rápido para todos.
Ver 19 comentarios