Creación de una autoridad certificadora de firmas digitales y servidor OCSP. Análisis de ataques MITM

Abstract

La conexión segura entre un cliente y un servidor mediante HTTPS es de las más empleadas actualmente en las aplicaciones web. Para ello es necesario que los administradores de los servidores soliciten y paguen por un certificado a una autoridad de certificación, lo cual puede resultar un proceso complejo. Es por esto que muchos optan por mantener sus servicios sin cifrar , con el problema de seguridad que supone. El objetivo de este proyecto es la puesta en marcha de un sistema que incluya una autoridad de certificación y un servidor OCSP para la validación, de forma que firme los certificados de forma transparente al administrador y éste pueda utilizarlos para su servicio. Se parte de la idea de que en un futuro todas las aplicaciones se comuniquen de forma cifrada. Para comprobar que esta autoridad genera certificados de confianza, se ha diseñado un plan de pruebas que incluye un cliente que se conectará de forma segura con un certificado generado por la autoridad a un servidor Apache, haciendo uso de la herramienta nogotofail que intentará sabotear la conexión mediante ataques “Man In The Middle”.

Secure connection between a client and a server using HTTPS is currently one of the most used in web applications. This requires that server administrators request and pay for a certificate to a certification authority, which can be a complex process. This is why many of them choose to maintain their services without encrypting, with the secur ity problem that it means. The purpose of this project is the implementation of a system that includes a certification authority and an OCSP responder for validation, so it signs certificates transparently to administrators and they could use them for thei r services. It starts from the idea that in a future all applications will communicate in an encrypted way. To check that this authority generates trusted certificates, it has been designed a testing plan that includes a client which will connect securely with a certificate generated by the authority to an Apache server, using the tool nogotofail that will try to sabotage the connection by attacks “Man In The Middle”