¿Qué es TLS?

El protocolo TLS (Transport Layer Security) es un protocolo criptográfico que protege los datos que se transmiten entre dos puntos finales; su manifestación más visible es el icono del candado que aparece en la barra de direcciones del navegador. Mediante un proceso de establecimiento de conexión, se autentica a las partes y se negocian las claves de cifrado; a continuación, el protocolo de datos que sigue cifra cada byte intercambiado a través de la conexión y comprueba su integridad.

Puntos clave

• TLS protege los datos en tránsito para HTTPS, API, VPN y túneles de cliente.
• Un protocolo de establecimiento de conexión autentica a los pares y negocia las claves antes de que se transmita ningún dato.
• TLS 1.3 es el estándar actual; TLS 1.0 y 1.1 han quedado obsoletos.
• SSL es el predecesor obsoleto de TLS; ambos nombres suelen utilizarse indistintamente.
• Versa SASE Los clientes pueden utilizar TLS como protocolo de túnel para proteger las pasarelas de acceso.

En esta página: Por qué es importante · Cómo funciona · Tipos · TLS y Versa · Preguntas frecuentes

¿Por qué es importante el TLS?

TLS es el protocolo que garantiza la fiabilidad de la web moderna. Todas las conexiones HTTPS —cada formulario de inicio de sesión, cada página de pago, cada llamada a una API entre dos servicios— dependen de TLS para cifrar los datos en tránsito y demostrar que el servidor del otro extremo es quien dice ser. Sin él, cualquier persona situada en la ruta de la red podría leer o alterar el tráfico que circula entre el cliente y el servidor.

Su importancia va mucho más allá de los navegadores: el TLS protege la transferencia de correo electrónico, los túneles VPN y de acceso remoto, así como el tráfico entre servicios dentro de las arquitecturas de aplicaciones modernas. Al tratarse de un estándar abierto y bien definido, los clientes y servidores de distintos proveedores interoperan sin necesidad de realizar trabajos de integración personalizados. Los navegadores y las herramientas de seguridad consideran cada vez más que las conexiones sin cifrar son potencialmente inseguras —señalando el HTTP sin cifrar y exigiendo certificados válidos—, lo que hace que el TLS sea prácticamente obligatorio para cualquier servicio conectado a Internet.

¿Qué es TLS?

El protocolo TLS funciona en dos fases. El protocolo de establecimiento de conexión establece la confianza y los secretos compartidos: el cliente y el servidor acuerdan una versión de TLS y un conjunto de cifrado; el servidor presenta un certificado que acredita su identidad (validado por una autoridad de certificación de confianza); y ambas partes derivan una clave de sesión compartida —utilizando el intercambio de claves de Diffie-Hellman en el TLS moderno—, de modo que, si la clave se viera comprometida en el futuro, no sería posible descifrar una sesión anterior grabada.

Una vez completado el establecimiento de la conexión, el protocolo de registro toma el relevo: cifra los datos de la aplicación, los divide en segmentos y adjunta un control de integridad a cada uno de ellos, de modo que se pueda detectar cualquier manipulación o repetición. TLS se ejecuta sobre TCP y se sitúa por debajo del protocolo de aplicación —HTTP, SMTP o un protocolo personalizado—, razón por la cual protege tantos tipos de tráfico sin que sea necesario modificar dichos protocolos.

Tipos de TLS

Se han lanzado cuatro versiones principales. TLS 1.0 y TLS 1.1 están obsoletas: los principales navegadores dejaron de ofrecerles soporte en 2020, y la IETF las declaró oficialmente obsoletas en el RFC 8996 (2021) debido a sus vulnerabilidades conocidas. TLS 1.2 sigue siendo habitual y es seguro cuando se configura con conjuntos de cifrado modernos, pero sigue permitiendo opciones más antiguas y menos seguras a menos que se restrinjan. TLS 1.3 (RFC 9846, que consolidó y dejó obsoleta la RFC 8446 original) es el estándar actual: acorta el proceso de establecimiento de conexión, elimina por completo los cifrados heredados y hace obligatoria la confidencialidad hacia adelante.

Más allá de las versiones, hay dos modos que cobran importancia. El TLS estándar solo autentica al servidor, lo cual es suficiente para la mayor parte del tráfico web. El TLS mutuo (mTLS) exige además que el cliente presente un certificado, autenticando a ambas partes —algo habitual en las arquitecturas Zero Trust—. Su homólogo sin conexión, el DTLS, adapta los mismos conceptos a los transportes UDP, donde la sobrecarga del TCP resulta indeseable —ideal para túneles VPN y tráfico en tiempo real—. Un conjunto de cifrado es el conjunto negociado de algoritmos —intercambio de claves, cifrado y comprobación de integridad— que utiliza realmente una sesión TLS determinada.

TLS y Versa

Un cliente de Versa SASE puede conectarse a una pasarela de acceso seguro a través de TLS, junto con IPsec y DTLS, como uno de los protocolos de túnel en su orden de túneles configurado. Los administradores configuran los parámetros de TLS directamente en el objeto «Secure Access Service Gateway»: las versiones mínimas y máximas de TLS admitidas (desde TLS 1.0 hasta TLS 1.3), una lista de conjuntos de cifrado TLS permitidos, el puerto de escucha de TLS (443 por defecto) y un identificador de perfil TLS que vincula el túnel a su certificado y material de clave. Este rango de versiones es el que expone la interfaz de configuración de la pasarela; la documentación del perfil de VPN SSL describe por separado sus túneles como TLS 1.2, por lo que debe comprobar qué interfaz rige su implementación a la hora de reforzar las versiones.

Las mismas opciones de la pestaña TLS y de orden de túneles aparecen tanto si la pasarela está configurada para Secure SD-WAN o para implementaciones NGFW, lo que mantiene la coherencia del modelo TLS en todas las arquitecturas de acceso seguro de Versa. Limitar la versión mínima a TLS 1.2 o superior y reducir la lista de conjuntos de cifrado son las medidas que utilizan los administradores para reforzar la seguridad TLS de una pasarela sin modificar sus opciones de IPsec o DTLS.

Preguntas frecuentes

¿Cuál es la diferencia entre TLS y SSL?

SSL es el predecesor de TLS; todas las versiones de SSL han quedado obsoletas y se consideran inseguras. TLS 1.0 comenzó como una actualización menor de SSL 3.0, pero desde entonces ambos protocolos han tomado caminos diferentes. El término «SSL» sigue utilizándose de manera informal para referirse a TLS: un «certificado SSL» es, en realidad, un certificado TLS.

¿Cuál es la diferencia entre TLS y DTLS?

TLS se ejecuta sobre TCP y da por hecho un flujo de bytes fiable y ordenado. DTLS adapta esos mismos conceptos a UDP, añadiendo su propio mecanismo para gestionar la pérdida y la reordenación de paquetes, lo que lo hace adecuado para túneles VPN y tráfico en tiempo real en los que la sobrecarga de TCP resulta indeseable.

¿Qué es el TLS mutuo (mTLS)?

El TLS mutuo amplía el protocolo de establecimiento de conexión estándar de modo que tanto el cliente como el servidor presenten certificados, autenticándose mutuamente en lugar de que solo lo haga el servidor. Es habitual en la comunicación entre servicios y en las arquitecturas «Zero Trust», en las que cada conexión debe demostrar la identidad de ambos extremos.

¿Por qué se dejaron de utilizar TLS 1.0 y 1.1?

TLS 1.0 y 1.1 se basan en algoritmos criptográficos y mecanismos de establecimiento de conexión obsoletos que presentan debilidades conocidas, entre ellas la vulnerabilidad a determinados ataques de rebaja de versión. Los principales navegadores dejaron de ofrecer compatibilidad con ellos en 2020, y la IETF declaró oficialmente obsoletas ambas versiones en el RFC 8996 (2021), impulsando así la adopción de TLS 1.2 y del más seguro TLS 1.3 en el ecosistema.

¿Qué puerto utiliza TLS?

El protocolo TLS en sí mismo no está vinculado a un único puerto; el puerto depende del protocolo de aplicación que se superpone a él. El protocolo HTTPS utiliza habitualmente el puerto 443, y las pasarelas de acceso seguro de Versa utilizan el mismo valor por defecto, aunque los administradores pueden configurar un valor diferente.

Más información sobre TLS

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre TLS, te conviene echar un vistazo a lo siguiente.