¿Qué es un ataque de renegociación SSL ?

Here’s a bit of cybersecurity trivia for you: the world’s top 1 million websites use over 2 million SSL certificates. These certificates create a sense of trust—after all, don’t you feel safer when you visit a website with a little lock in the URL bar? 

However, just because you see that a site has an SSL certificate doesn’t mean that it’s being managed properly. According to Keyfactor’s 2024 PKI & Digital Trust Report, 37% of companies have experienced a certificate-related outage. Because SSL certificates are commonly used on websites and other customer-facing digital properties, their (mis)management directly impacts the customer experience.

Todo esto hace que la gestión de SSL sea un gran reto para las empresas y los profesionales de la seguridad.

Outages can stem from various attacks, including an SSL renegotiation attack. An SSL renegotiation attack can be especially troubling because it exploits a vulnerability in the protocol. We’ll explore what an SSL renegotiation attack is and how certificate automation plays a role in preventing it. 

Renegociación SSL 

To understand what an SSL renegotiation attack is, let’s first talk about the SSL/TLS protocol. TLS v1.0 and later has a feature that allows a connection to be renegotiated during an active session. Renegotiation could take place while requiring client authentication after the initial connection or changing encryption parameters mid-session. 

La renegociación es una función legítima. Hay buenas razones para que una conexión necesite renegociarse. Dicho esto, la renegociación necesita salvaguardas para garantizar que los atacantes no se aprovechen de ella. 

Cómo aprovechan los atacantes la renegociación 

Hay dos formas de explotar la renegociación: 

• Hombre en el medio (MitM)
• Denegación de servicio (DoS)

# 1 - El hombre del medio

The first method involves a man-in-the-middle hacker injecting malicious data into an SSL session during renegotiation. Here’s what that looks like: 

Alice envía un ClientHello a Bob para iniciar una conexión, pero Mallory-un atacante-puede interceptar la petición.

Mallory envía su propia solicitud ClientHello a Bob y crea una conexión segura. A continuación, Mallory inicia una solicitud de renegociación, pero cuando Bob inicia un nuevo apretón de manos, Mallory transmite texto plano malicioso, que Bob coloca en su búfer -su papelera de tareas pendientes- hasta que finaliza el proceso de apretón de manos.

A continuación, Mallory reenvía el mensaje ClientHello inicial de Alice a Bob, que establece una conexión segura. Bob procesa el mensaje de Alice, pero también procesa los mensajes enviados por Mallory durante el handshake.

# 2 - Denegación de servicio

The second method involves the attacker sending multiple renegotiation requests to the server, known as denial of service (DoS).

Cada solicitud inicia un nuevo protocolo de enlace SSL , que agota los recursos del servidor porque todas las demás solicitudes se almacenan en un búfer hasta que se completa el protocolo de enlace. El servidor se ve desbordado e incapaz de conectarse con usuarios legítimos. 

Hay una variedad de razones por las que los atacantes llevan a cabo ataques DoS. Los ciberdelincuentes organizados llevarán a cabo este tipo de ataques por una comisión. En otros casos, hacktivistas políticos atacarán servidores de organizaciones o empresas porque apoyan determinadas causas. 

Cómo evitar un ataque de renegociación SSL 

Here’s one thing you must remember: SSL renegotiation attacks aren’t inevitable! A clear sign of an attempted SSL renegotiation attack is odd certificate usage patterns, such as repeated renegotiation attempts. When a user is trying to renegotiate an SSL session over and over again, there’s a high likelihood someone’s trying to perpetrate an SSL renegotiation attack. Your certificate solution can work with other security tools in your toolkit to maximize your protection. APIs and automation features within your certificate solution can integrate with tools such as firewalls, intrusion detection systems (IDS), and security information and event management (SIEM) solutions. 

Automatizar la renovación de certificados 

The existence of so many SSL certificates makes manual management impossible. SSL certificate automation simplifies and streamlines the renewal process.

La automatización significa que los sistemas utilizan los estándares criptográficos más actualizados, por lo que no hay preocupación de que los atacantes puedan explotar las vulnerabilidades de los sistemas más antiguos. Además, la automatización de certificados facilita la identificación y revocación de un certificado comprometido. 

Formas de detener los ataques de renegociación SSL

Puede tomar medidas para detener en seco los ataques de renegociación SSL , aunque hay algunas consideraciones que debe tener en cuenta.

Desactivación de la renegociación

Podrías desactivar la renegociación, lo que impediría a los hackers lanzar ataques que aprovechen esa vulnerabilidad. Dicho esto, desactivar la renegociación es una opción más drástica. Tiene más sentido habilitar la renegociación para servidores de bajo riesgo con tráfico benigno. Sin embargo, los servidores de alto riesgo requieren controles más estrictos. 

Activación de solicitudes de renegociación sólo del lado del servidor

Otra forma de evitar los ataques de renegociación SSL es habilitar las solicitudes de renegociación sólo del lado del servidor. Sin embargo, los hackers pueden engañar al servidor para que inicie una solicitud por ti, así que este no es un método infalible. 

Renegociación segura

Implementing secure renegotiation binds the original requests with any renegotiation requests via a cryptographic process. For this to work, both the client and the server must be configured to support this feature. 

Configuración de límites de velocidad para intentos de renegociación 

También puedes establecer un límite de velocidad para el número de intentos de renegociación permitidos. Cuando se producen demasiados intentos de renegociación, el sistema de información de seguridad y gestión de eventos (SIEM) entra en acción y activa una alerta de seguridad o finaliza automáticamente la conexión. 

Gestión de certificados para evitar ataques de renegociación SSL

Mantener sus certificados organizados es uno de los métodos más importantes para detener los ataques de renegociación SSL . Existen varios métodos para hacerlo. Veremos dos de ellos: herramientasopen-source y procesos manuales, así como los pros y los contras de ambos. 

Herramientas de Open-Source

Existen diversas herramientas open-source en el mercado que le ayudan a identificar los certificados SSL que caducarán pronto. 

The Pros: The benefit of using open-source tools is that they have either no or low upfront costs. 

The Cons: There are some notable drawbacks to using open-source tools. 

Aunque es posible que no tenga que invertir en una herramienta open-source abierto cuando la implante por primera vez, existen otros costes a largo plazo. Tu equipo tendrá que gestionar esas herramientas y puede que no reciba asistencia técnica cuando la necesite.

Procesos manuales

Sus equipos rastrearían manualmente los certificados a punto de caducar.

The Pros: You’re saving money by not investing in software. 

The Cons: The money you’ve saved by not investing in software will be eaten up by how much time your team will spend on this activity. 

Además, no importa a cuántas personas encargue esta tarea, es imposible que encuentren todos los certificados que están a punto de caducar. Si se les escapa alguno, su organización podría estar en peligro.

Mejores prácticas: Una solución centralizada de gestión de certificados 

Centralizar la gestión de certificados en una única plataforma automatizada resuelve los puntos débiles que presentan las demás soluciones. Esta solución utiliza menos recursos y requiere menos inversión de tiempo que las soluciones open-source o los procesos manuales. 

La gestión centralizada de certificados le ofrece una visión en tiempo real de todos los certificados de la organización, incluso los no documentados. Esa visibilidad única le ahorra tiempo y esfuerzo, para que su equipo pueda dedicar más tiempo a trabajar en lo que más importa. 

Además, las plataformas centralizadas pueden ayudarle a implantar la automatización de certificados. La automatización de la gestión del ciclo de vida de los certificados SSL minimiza problemas como los certificados caducados y sin documentar. También es más sencillo y rápido revocar certificados con una plataforma centralizada, para que pueda reforzar su postura de seguridad y mantener la conectividad. 

Sentar las bases para la automatización de certificados con Keyfactor

You can protect yourself from SSL renegotiation attacks by ensuring your SSL certificates are up to date. Automating the certificate lifecycle allows you to quickly and easily identify SSL certificates that put you at risk. Find out how Keyfactor can help–watch our demo now.