Laboratorio del handshake mTLS
Diagnostica por qué falla un handshake de TLS mutuo y elige la corrección correcta, y aprende por qué un candado verde no prueba la autenticación mutua.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
El TLS mutuo falla por confianza e identidad, no por sintaxis, y su peor fallo es el que parece un éxito. En cada handshake recibes el certificado del cliente, el certificado del servidor, el almacén de confianza y los requisitos del servidor, y si el cliente confía en el servidor. Tomas las dos decisiones que importan: diagnosticar por qué falla la autenticación con certificado de cliente (o confirmar que es correcta) y elegir la corrección adecuada. Los fallos de base incluyen un certificado de cliente no fiable o caducado, la falta del EKU clientAuth, una discrepancia de identidad SAN/SPIFFE, un certificado de servidor en el que el cliente no confía y el caso peligroso en el que el servidor nunca pide un certificado de cliente, de modo que la autenticación se omite en silencio. Los niveles más difíciles añaden fallos más sutiles: una cadena incompleta (falta el intermedio), un modelo de confianza dividido y una discrepancia de identidad SPIFFE que se verifica pero no está autorizada. Sumas un punto por el diagnóstico y otro por la corrección en cada escenario, con bonificación por velocidad si terminas por debajo del par. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Revisa el certificado del cliente, el del servidor, la configuración mTLS del servidor y si el cliente confía en el servidor.
- Diagnostica por qué falla el handshake o confirma que es correcto.
- Elige la corrección adecuada, en el lado correcto de la conexión.
- Lee la explicación y sigue tu puntuación acumulada.
Preguntas frecuentes
¿Qué es el laboratorio del handshake mTLS?
Un ejercicio en el navegador en el que ves un handshake de TLS mutuo: el certificado del cliente, el del servidor, la configuración mTLS del servidor (si exige certificado de cliente, en qué CA confía para la autenticación de clientes, cualquier identidad SAN/SPIFFE requerida y si aplica el EKU clientAuth) y si el cliente confía en el servidor. En cada uno diagnosticas por qué falla (o confirmas que es correcto) y eliges la corrección adecuada. Recibes comentarios inmediatos con la justificación y una puntuación acumulada.
¿Qué fallos cubre?
Un certificado de cliente firmado por una CA en la que el servidor no confía; un certificado de cliente caducado; un certificado sin el Extended Key Usage clientAuth; una identidad SAN o de sujeto que no coincide con la requerida; un certificado de servidor en el que el cliente no confía (así que el cliente aborta); y el agujero de seguridad en el que el servidor en realidad no está configurado para pedir un certificado de cliente, de modo que la autenticación mutua se omite en silencio. Los niveles de mayor dificultad añaden una cadena incompleta (no se envía el intermedio emisor), un modelo de confianza dividido y una discrepancia de identidad SPIFFE: un certificado que se verifica pero no es la identidad autorizada.
¿Por qué un handshake correcto no siempre significa que mTLS funciona?
Porque un servidor puede presentar un certificado válido y cifrar el canal sin pedir ni verificar nunca un certificado de cliente. La conexión «funciona» y el candado está en verde, pero la autenticación del cliente nunca se produjo: se acepta a cualquiera que pueda llegar al endpoint. El laboratorio te hace detectar ese caso, que es una de las configuraciones incorrectas de mTLS más comunes en la práctica.
¿Es una pila TLS real?
No. Es un modelo didáctico de la verificación y la autorización del TLS mutuo: confianza en la cadena, validez, uso de clave, fijación de identidad y si la autenticación del cliente se aplica de verdad. Simplifica a propósito el protocolo para que la lección (confianza frente a autorización, y corregir el lado correcto de la conexión) quede clara. Todos los certificados, CA e identidades son inventados.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.