Autor: @RaulRenales
Recientemente por temas de trabajo he tenido que revisar
algunos servidores Apache y la manera en la que tienen configurados sus
certificados que habilitan la navegación segura. La experiencia me pareció
interesante para compartir en este blog dado que hay mucha gente que no tiene
claro algunos conceptos sobre certificados y servidores.
Este artículo es el primero de una serie de tres entradas
relativas a SSL y configuración de servidores Apache.
En esta primera entrada hablaremos de cómo podemos obtener
información relativa al certificado que nuestro servidor web tiene instalado y
que diferentes opciones o herramientas tenemos.
Opción 1: Qualys SSL Labs
(https://www.ssllabs.com/ssltest)
Una de las primeras opciones que siempre me gusta utilizar
es la herramienta online de Qualys. Se trata de una herramienta 100% online y
que nos puede dar un primer vistazo y muchas pistas de cómo está configurado
nuestro servidor.
Como se puede ver en la imagen tan sencillo como indicarle
el dominio o ip del servidor y dar al botón enviar.
Una vez finalizado el análisis podemos observar los
resultados, donde lo primero que veremos será una evaluación global con los
puntos más importantes del análisis.
Si tiramos de scroll hacia abajo podremos ver los detalles
del análisis, que se agrupan en dos categorías:
- Authentication: donde podremos ver los datos del certificado y de los certificados adicionales o intermedios relacionados con el principal.
- Configuration: donde podemos ver datos relativos a los protocolos, Cipher suites, área de simulación de handshakes para ver cómo se comporta nuestro certificado con varios user-agents. En la zona de Protocol details quizá podamos obtener la información más relevante de cara a explotar alguna vulnerabilidad relacionada con el certificado.
Se trata de un conjunto de herramientas que nos ayudaran con
los trabajos relacionados con los certificados y su instalación en los
servidores. Además de la opción Checker que nos ofrece datos tan interesantes
como los vistos en la opción 1, esta web nos ofrece herramientas de conversión
de certificados, revisión de logs de transparencia y alguna que otra opción
más.
Opción 3: SSL Tools (https://ssl-tools.net/)
Por último, y por no alargar mucho el post, también podemos
utilizar la web SSL Tools, una interesante web que vive para y por el SSL.
Entre sus opciones podemos encontrar interesantes herramientas que nos harán la
vida más fácil.
También encontraremos muy buena información sobre
vulnerabilidades como Heartbleed y Poodle.
Bueno, creo que de momento con estas tres opciones cubrimos
de sobra la obtención de información sobre los certificados instalados en webs
con navegación segura, permitiéndonos utilizar la información para avanzar en
nuestra auditoría, o bien, afinar la configuración de nuestro servidor de cara
a minimizar los riesgos.
En la próxima entrega hablaremos de cómo podemos afinar los
servidores y obtener la nota más alta en los análisis que hemos visto
anteriormente, nos vemos…
No hay comentarios:
Publicar un comentario