Laboratorio de bastionado de suites de cifrado TLS
Activa y desactiva versiones de protocolo y suites de cifrado para llegar a una A+ al estilo SSL Labs sin romper un cliente que debe seguir funcionando.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
El bastionado de TLS falla por los compromisos, no por falta de conocimiento. Cualquiera puede desactivar SSL 3.0 y RC4; lo difícil es llegar a una A+ mientras el único cliente que tiene que seguir funcionando completa su handshake. En este laboratorio activas y desactivas las versiones de protocolo y las suites de cifrado del servidor y ves cómo se mueve la nota, calculada en vivo como la puntuaría un escáner al estilo SSL Labs: SSLv3 y las suites export, NULL y anónimas son un suspenso inmediato (F); TLS 1.0 y 1.1 te limitan a C; RC4 y 3DES, a B; una suite sin secreto hacia delante, a A. Cada escenario tiene un cliente obligatorio (un navegador, un terminal ERP heredado, una API interna) que debe seguir completando su handshake, así que no puedes desactivarlo todo. Algunos clientes están atados de verdad a una suite débil y el techo es B o C: la lección es alcanzar la mejor nota que mantiene vivo el flujo necesario, no perseguir la A+ a cualquier precio. Una traza del handshake muestra qué clientes conectan y qué sondeos de degradación (POODLE, RC4, DH anónimo) rechaza con razón un servidor bastionado. Es un laboratorio Pro.
- Lee el escenario y el cliente obligatorio que debe seguir conectando.
- Activa o desactiva las versiones de protocolo (de SSL 3.0 a TLS 1.3) y las suites de cifrado.
- Observa la nota en vivo y los límites que impone cada opción activada.
- Revisa la traza del handshake y alcanza la nota objetivo sin dejar fuera al cliente obligatorio.
Preguntas frecuentes
¿Qué es el laboratorio de bastionado de suites de cifrado TLS?
Un ejercicio en el navegador en el que decides qué versiones del protocolo TLS (de SSL 3.0 a TLS 1.3) y qué suites de cifrado ofrece un servidor. El laboratorio califica el resultado como lo haría SSL Labs, penalizando los protocolos obsoletos, los cifrados rotos (RC4), los cifrados de bloque débiles (3DES / SWEET32), los cifrados export y NULL, el intercambio de claves anónimo y la falta de secreto hacia delante, y comprueba que un cliente obligatorio aún puede completar el handshake.
¿Cómo se calcula la nota?
Cada protocolo y suite activados aportan un límite y una deducción. SSL 3.0, los cifrados de grado export, los cifrados NULL y las suites anónimas limitan la nota a F. TLS 1.0 y 1.1 la limitan a C. RC4 y 3DES, a B. Una suite sin secreto hacia delante (RSA estático), a A. Para llegar a A+ necesitas TLS 1.3 activado y ofrecer solo suites AEAD con secreto hacia delante, sin ninguna opción débil. La nota final es la menor entre la puntuación por puntos y el límite más estricto que impone cualquier opción activada.
¿Por qué hay un «cliente obligatorio»?
Porque el bastionado real es un compromiso, no un checklist. Desactivar TLS 1.0, RC4 y 3DES es fácil hasta que recuerdas el terminal de pago o la integración ERP que solo habla uno de ellos. Cada escenario fija un cliente que debe seguir conectando, así que tienes que encontrar la configuración más fuerte que no lo deje fuera; a veces ese techo es B o C, y reconocerlo es justo el objetivo.
¿Es un escáner TLS real?
No. Es un modelo didáctico de la lógica de calificación que popularizó SSL Labs, con escenarios y clientes inventados. Se ejecuta por completo en tu navegador, sin servidor y sin escanear ningún equipo real, para que sientas por qué importan las elecciones de protocolo y cifrado sin tocar producción.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.