¿Qué es la tunelización SSL?

SSL Tunneling involucra a un cliente que requiere una conexión SSL a un servicio back-end o servidor seguro a través de un servidor proxy. Este servidor proxy abre la conexión entre el cliente y el servicio backend y copia los datos a ambos lados sin ninguna interferencia directa en la conexión SSL.

A continuación se proporciona un diagrama que demuestra la tunelización SSL:

Funcionamiento de túneles SSL

El funcionamiento paso a paso de SSL Tunneling desde su creación hasta su finalización es el siguiente:

• El cliente realiza una solicitud de tunelización CONNECT en el puerto 443 para HTTPS. Esta solicitud se envía al servidor proxy automáticamente para la solicitud HTTPS. RFC 2616 utiliza la solicitud CONNECT para establecer un túnel.
• El servidor proxy recibe la solicitud de tunelización en el puerto 8080. Luego conecta el servidor de destino seguro al puerto solicitado por el cliente.
• El servidor proxy devuelve una respuesta 200 OK al cliente para confirmar que se creó una conexión SSL.
• Un apretón de manos TLS ocurre efectivamente entre el cliente y el servidor ya que el servidor proxy no participa en él.
• Después del protocolo de enlace TLS, los datos cifrados pasan del cliente al servidor a través del servidor proxy y viceversa. Estos datos solo se descifran en el cliente o el servidor y nunca en el servidor proxy.
• Cuando el cliente o el servidor solicitan el cierre de la conexión, el servidor proxy cierra las conexiones en los puertos 443 y 8080 y se reanudan las operaciones normales.

Características de los túneles SSL

• Para realizar túneles SSL entre el cliente y el servidor mediante URL HTTPS, el cliente debe ser compatible con SSL y HTTPS. En caso de que el cliente no admita HTTPS, se puede utilizar la capacidad de proxy HTTPS del servidor proxy.
• La seguridad de los túneles SSL está a la par con SSL sin proxy. Esto significa que el uso del servidor proxy no cambia ni reduce la seguridad de SSL en absoluto.
• El servidor proxy en túneles SSL no puede acceder a la transacción entre el cliente y el servidor ya que está cifrada. Esto significa que no es posible escuchar a escondidas, ya sea desde el servidor proxy o desde terceros.
• El servidor proxy no puede verificar si el protocolo utilizado entre el cliente y el servidor es SSL ya que no puede acceder a la transacción. Por lo tanto, es mejor si los puertos conocidos, es decir, el puerto 443 para HTTPS y el 563 para SNEWS, se utilizan por razones de seguridad.