¿Qué es el descifrado SSL?

El descifrado SSL es el proceso de interceptar y descifrar sesiones SSL/TLS cifradas para que los servicios de seguridad —como el filtrado de URL, el antivirus, la prevención de pérdida de datos (DLP) y el agente de seguridad de acceso a la nube (CASB)— puedan inspeccionar el tráfico subyacente en busca de amenazas e incumplimientos de las políticas antes de volver a cifrarlo y reenviarlo a su destino.

Puntos clave

• Descifra el tráfico SSL/TLS para que las herramientas de seguridad puedan inspeccionar su contenido.
• Requisitos para una inspección en profundidad: DLP, CASB, antivirus y filtrado de URL.
• El tráfico se vuelve a cifrar y se reenvía una vez finalizada la inspección.
• La función «Decrypt bypass» exime del control el tráfico de confianza o sensible.
• Depende de que haya un certificado de CA raíz de confianza instalado en los dispositivos de los clientes.

En esta página: Por qué es importante · Cómo funciona · Tipos · Descifrado SSL y Versa · Preguntas frecuentes

¿Por qué es importante el descifrado SSL?

Hoy en día, la mayor parte del tráfico empresarial está cifrado con SSL/TLS, lo que protege los datos en tránsito, pero también impide que las herramientas de seguridad tradicionales puedan ver su contenido. Un cortafuegos o una pasarela que no pueda ver el interior de una sesión cifrada no puede distinguir si esta transporta una descarga legítima, un intento de exfiltración de datos o un malware que está recuperando una carga útil. El descifrado de SSL elimina ese punto ciego al descifrar la sesión en un punto de aplicación de políticas, inspeccionarla y, a continuación, volver a cifrar el tráfico antes de reenviarlo.

Sin descifrado, servicios como los antivirus, DLP y CASB solo ven texto cifrado: actúan sobre metadatos como la IP de destino y el SNI, nunca sobre la carga útil. Dado que el tráfico cifrado abarca prácticamente todo el uso de la web y del SaaS, el descifrado marca la diferencia entre una política que inspecciona el contenido y otra que solo lo adivina. La mayoría de las organizaciones equilibran esto con un descifrado selectivo, excluyendo categorías como la banca o la sanidad, donde la privacidad prevalece sobre los beneficios.

¿Qué es el descifrado SSL?

El descifrado SSL —más concretamente, el descifrado TLS, ya que SSL es el predecesor obsoleto de TLS— funciona interrumpiendo la sesión cifrada en un punto de inspección, en lugar de dejar que pase directamente. Una pasarela se sitúa entre el cliente y el servidor, presenta al cliente su propio certificado —firmado por una autoridad de certificación en la que el cliente confía— y negocia por separado una sesión TLS normal con el servidor real. Al disponer de ambos conjuntos de claves de sesión, descifra la solicitud, la inspecciona, la vuelve a cifrar y la reenvía; a continuación, realiza el mismo proceso a la inversa con la respuesta.

Para ello, es necesario que el certificado de la CA raíz del dispositivo de inspección esté instalado en el almacén de confianza del cliente, de modo que las sesiones descifradas no generen avisos de certificado. A continuación, las políticas de descifrado determinan qué sesiones se abren; algunas se dejan deliberadamente sin tocar.

Tipos de descifrado SSL

Las implementaciones de descifrado SSL suelen clasificarse en tres enfoques. El descifrado directo (saliente) inspecciona el tráfico que los usuarios internos envían a Internet o a aplicaciones SaaS; se trata de la implementación más habitual, ya que permite que una pasarela aplique filtrado de URL, DLP y antivirus antes de que el tráfico salga de la red. El descifrado entrante (proxy inverso) protege los servidores alojados internamente, descifrando las solicitudes de los clientes antes de que lleguen a la aplicación.

El descifrado selectivo (basado en políticas), o «bypass de descifrado», exime a un tráfico específico de la inspección en función de la categoría, el destino o los atributos del certificado, lo que permite, por ejemplo, que las sesiones bancarias o sanitarias permanezcan cifradas para cumplir con la normativa. La mayoría de las implementaciones combinan estas tres opciones: descifrado amplio de tráfico saliente, descifrado selectivo de tráfico entrante y una lista de exclusión para el tráfico que nunca debe descifrarse.

Descifrado SSL y Versa

En la plataforma « Versa », el descifrado SSL es una función que utilizan el filtrado de URL y otras funciones de inspección para examinar el contenido de las sesiones cifradas. El filtrado de URL funciona tanto si el descifrado está activado como si no, pero al activarlo, la función puede clasificar el tráfico utilizando el host y el URI reales de la solicitud descifrada, en lugar de basarse únicamente en el campo SNI, lo que permite un filtrado más detallado. Esta misma opción está disponible para el filtrado de URL basado en NGFW. Una configuración de «Omisión de descifrado » permite a los administradores excluir del descifrado determinados tipos de tráfico, como las redirecciones de portales cautivos o los destinos de confianza.

En el cliente deVersa SASE , el descifrado depende de un certificado de CA raíz instalado en el almacén de confianza del terminal; los navegadores verifican las sesiones descifradas con esa CA interna en lugar de con una pública. Si falta el certificado, o si la validación se realiza mediante una CA pública, el descifrado no funciona.

Preguntas frecuentes

¿Cuál es la diferencia entre el descifrado SSL y la inspección TLS?

Ambos términos se refieren a la misma práctica. SSL es el predecesor, ya en desuso, de TLS, pero «descifrado SSL» sigue siendo el término habitual en el sector, aunque casi todo el tráfico que se descifra hoy en día corresponde a TLS y no al antiguo protocolo SSL. La inspección TLS es, sencillamente, el nombre técnicamente más preciso para referirse al mismo proceso de descifrado, inspección y recifrado.

¿Por qué las herramientas de seguridad necesitan descifrar el tráfico SSL/TLS?

El cifrado que protege los datos frente a los intrusos también oculta las cargas maliciosas y la filtración de datos a las herramientas de seguridad. Sin descifrado, una pasarela solo puede inspeccionar metadatos como la IP de destino y el SNI, pero no el contenido real, por donde circulan las amenazas y los datos confidenciales.

¿El descifrado SSL rompe el cifrado de extremo a extremo?

Dentro del segmento inspeccionado, sí: el dispositivo de inspección cierra una sesión TLS e inicia otra, por lo que puede leer el texto sin cifrar entre esos tramos. Ambos tramos siguen estando cifrados por separado, pero el verdadero cifrado de extremo a extremo entre el cliente y el servidor deja de existir una vez descifrado.

¿Qué es el «bypass de descifrado SSL»?

La «exención de descifrado» es una configuración de política que exime a determinados tipos de tráfico del descifrado; por ejemplo, destinos de categoría sensible o redireccionamientos a portales cautivos que solo necesitan la visibilidad suficiente para mostrar una página de inicio de sesión. Esta configuración busca un equilibrio entre la cobertura de la inspección y las cuestiones relacionadas con la privacidad, el cumplimiento normativo y la compatibilidad.

¿El descifrado SSL es lo mismo que un ataque de «hombre en medio»?

Técnicamente, sí: el mecanismo es idéntico al de una interceptación de tipo «hombre en medio». Lo que lo hace legítimo es el consentimiento: la organización que lo implementa controla los terminales, instala su propio certificado de CA raíz con el conocimiento del propietario del dispositivo y aplica esta práctica en el marco de una política documentada.

Más información sobre el descifrado SSL

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre el descifrado SSL, te conviene echar un vistazo a lo siguiente.