Los codificadores conquistan la seguridad: Share & Learn Series - Protección insuficiente de la capa de transporte
Incluso si se ha asegurado completamente un servidor de aplicaciones y los sistemas backend que utiliza, las comunicaciones podrían seguir siendo vulnerables al espionaje si no se cuenta con suficiente protección de la capa de transporte. En el mundo físico, la razón por la que las divisas se mueven utilizando vehículos blindados es para proporcionar protección mientras están en tránsito. En realidad, no importa lo segura que sea una tienda o un banco si el dinero que genera se carga en un carro de golf para atravesar la ciudad.
Lo mismo puede decirse de las capas de transporte en el ámbito cibernético. Aunque una aplicación sea segura, sigue existiendo una vulnerabilidad crítica si la información que entra en ella se envía sin protección. Y hay una segunda vulnerabilidad con algunas aplicaciones si además envían información a otros servidores o a una base de datos. Esa información puede quedar expuesta a personas internas que no tienen por qué husmear en esas transacciones.
Para proteger completamente a los usuarios y los datos es necesario proteger la capa de transporte. Solo así se puede asegurar por completo una transacción de extremo a extremo.
En este episodio, aprenderemos:
- Cómo los piratas informáticos pueden aprovecharse de una protección insuficiente de la capa de transporte
- Por qué es tan peligroso no proteger la capa de transporte
- Qué se puede hacer para asegurar el transporte de todos los datos que entran y pasan por una aplicación o servidor.
¿Cómo aprovechan los atacantes la insuficiente protección de la capa de transporte?
Una protección insuficiente de la capa de transporte puede permitir ataques en dos puntos del flujo de datos. El punto más comúnmente explotado se encuentra entre el usuario y el servidor de aplicaciones. Si la información se envía en claro, o con un cifrado débil, los piratas informáticos podrán controlar, robar y posiblemente cambiar esa información. Esto podría permitir a los hackers robar la tarjeta de crédito de un usuario, sus credenciales de acceso o cualquier otra cosa enviada al servidor de aplicaciones. Incluso si el propio servidor es seguro, un hacker que supervise el canal inseguro entre éste y los usuarios podría obtener un acceso casi ilimitado a mucha información.
El segundo punto que suele quedar sin protección es la capa de transporte entre una aplicación y el resto de la red. Por ejemplo, un servidor de aplicaciones puede procesar pedidos de compras en línea y luego enviarlos a un sistema de cumplimiento, o los datos pueden ser simplemente descargados a una base de datos para su almacenamiento. Si esos canales internos están desprotegidos, los usuarios internos podrían ver esa información.
Aunque es agradable creer que todos los usuarios internos son buenas personas, el hecho es que las amenazas internas están aumentando en muchas industrias. Se ha sorprendido a usuarios internos aceptando sobornos a cambio de recoger información sensible para atacantes o competidores. Y tener acceso a algo como miles de tarjetas de crédito válidas puede ser simplemente demasiado tentador para que algunas personas lo ignoren.
En cuanto a las técnicas de ataque, no es muy difícil interceptar comunicaciones no protegidas. Incluso los hackers de bajo nivel saben cómo realizar ataques man-in-the-middle contra flujos de datos no cifrados. Si no lo saben, hay vídeos en línea que pueden entrenarlos en menos de media hora.
¿Por qué son tan peligrosas las vulnerabilidades de la protección de la capa de transporte?
Tener una protección insuficiente o inexistente en las capas de transporte es peligroso porque facilita enormemente a los hackers la obtención de información sensible. No tienen que entrar en el servidor de su aplicación o hackear su red. Basta con que preparen un ataque de hombre en el medio y lean todo lo que los usuarios envían a un servidor. Esto puede incluir nombres de usuario y contraseñas que pueden ser utilizados para burlar la seguridad en el futuro utilizando credenciales válidas. Dependiendo de la aplicación, esto también podría incluir información de tarjetas de crédito u otros datos personales de los usuarios.
Y es importante tener en cuenta que todo este fisgoneo tiene lugar fuera de su red. Si estás utilizando canales de transporte inseguros, no hay manera de saber si alguien está capturando esa información. Normalmente la primera señal es cuando muchos usuarios comienzan a reportar cuentas comprometidas o compras con tarjeta de crédito, y el factor común es que su aplicación " no es un buen lugar para estar. Los hackers también pueden modificar la información una vez que la tienen, cambiando la dirección de entrega, por ejemplo, o incluso insertando scripts maliciosos en la respuesta del servidor antes de pasarla a los usuarios.
En el backend, la falta de seguridad de la capa de transporte expone los datos a personas con información privilegiada. Probablemente es mucho menos probable que un interno esté fisgoneando la capa de transporte en comparación con los hackers del exterior que hacen lo mismo. Pero también es más peligroso si ocurre, porque la amenaza interna podrá ver no sólo los datos del usuario, sino también cualquier información propietaria añadida por el servidor de la aplicación antes de enviar esos paquetes.
Eliminación de las vulnerabilidades de la protección de la capa de transporte insuficiente
A pesar de lo peligrosa que puede ser una protección insuficiente de la capa de transporte, tampoco es increíblemente difícil asegurar adecuadamente todos sus canales de transporte. Comienza con la infraestructura del backend. Esta debe ser exclusivamente HTTPS, asegúrese de no mezclar HTTPS y HTTP en un sitio. Por último, mantenga un certificado SSL válido con un tamaño de clave mínimo de 2048 bits y obligue a todos los usuarios a interactuar utilizando navegadores seguros con HTTP Strict Transport Security (HSTS).
Una vez establecida la infraestructura, los desarrolladores deben utilizar un protocolo fuerte para proteger la capa de transporte. Lo ideal sería utilizar TLS 1.2, aunque TLS 1.1 y 1.0 también son aceptables si es absolutamente necesario. Una vez que esto esté en su lugar, los protocolos débiles como SSLv2 deben ser completamente desactivados y nunca apoyados.
También hay que tener cuidado de que los cifrados criptográficos sean lo suficientemente potentes en el backend. Lo ideal es que el tamaño mínimo de la clave de sesión sea de 128 bits. Al igual que con los protocolos, el soporte para algoritmos criptográficos débiles como DES y RC4-40 debería estar desactivado. Y por último, no consideres una aplicación realmente segura hasta que tanto el propio servidor como todas las rutas de datos que entran y salen de él estén suficientemente protegidos.
Más información sobre las vulnerabilidades de la protección de la capa de transporte insuficiente
Para más información, puedes echar un vistazo a la guía OWASP para proteger las capas de transporte. También puedes poner a prueba tus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .


Incluso si ha asegurado completamente un servidor de aplicaciones y los sistemas de backend que utiliza, las comunicaciones podrían seguir siendo vulnerables al espionaje si no tiene suficiente protección de la capa de transporte.
Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.

Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Reservar una demostraciónJaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.


Incluso si se ha asegurado completamente un servidor de aplicaciones y los sistemas backend que utiliza, las comunicaciones podrían seguir siendo vulnerables al espionaje si no se cuenta con suficiente protección de la capa de transporte. En el mundo físico, la razón por la que las divisas se mueven utilizando vehículos blindados es para proporcionar protección mientras están en tránsito. En realidad, no importa lo segura que sea una tienda o un banco si el dinero que genera se carga en un carro de golf para atravesar la ciudad.
Lo mismo puede decirse de las capas de transporte en el ámbito cibernético. Aunque una aplicación sea segura, sigue existiendo una vulnerabilidad crítica si la información que entra en ella se envía sin protección. Y hay una segunda vulnerabilidad con algunas aplicaciones si además envían información a otros servidores o a una base de datos. Esa información puede quedar expuesta a personas internas que no tienen por qué husmear en esas transacciones.
Para proteger completamente a los usuarios y los datos es necesario proteger la capa de transporte. Solo así se puede asegurar por completo una transacción de extremo a extremo.
En este episodio, aprenderemos:
- Cómo los piratas informáticos pueden aprovecharse de una protección insuficiente de la capa de transporte
- Por qué es tan peligroso no proteger la capa de transporte
- Qué se puede hacer para asegurar el transporte de todos los datos que entran y pasan por una aplicación o servidor.
¿Cómo aprovechan los atacantes la insuficiente protección de la capa de transporte?
Una protección insuficiente de la capa de transporte puede permitir ataques en dos puntos del flujo de datos. El punto más comúnmente explotado se encuentra entre el usuario y el servidor de aplicaciones. Si la información se envía en claro, o con un cifrado débil, los piratas informáticos podrán controlar, robar y posiblemente cambiar esa información. Esto podría permitir a los hackers robar la tarjeta de crédito de un usuario, sus credenciales de acceso o cualquier otra cosa enviada al servidor de aplicaciones. Incluso si el propio servidor es seguro, un hacker que supervise el canal inseguro entre éste y los usuarios podría obtener un acceso casi ilimitado a mucha información.
El segundo punto que suele quedar sin protección es la capa de transporte entre una aplicación y el resto de la red. Por ejemplo, un servidor de aplicaciones puede procesar pedidos de compras en línea y luego enviarlos a un sistema de cumplimiento, o los datos pueden ser simplemente descargados a una base de datos para su almacenamiento. Si esos canales internos están desprotegidos, los usuarios internos podrían ver esa información.
Aunque es agradable creer que todos los usuarios internos son buenas personas, el hecho es que las amenazas internas están aumentando en muchas industrias. Se ha sorprendido a usuarios internos aceptando sobornos a cambio de recoger información sensible para atacantes o competidores. Y tener acceso a algo como miles de tarjetas de crédito válidas puede ser simplemente demasiado tentador para que algunas personas lo ignoren.
En cuanto a las técnicas de ataque, no es muy difícil interceptar comunicaciones no protegidas. Incluso los hackers de bajo nivel saben cómo realizar ataques man-in-the-middle contra flujos de datos no cifrados. Si no lo saben, hay vídeos en línea que pueden entrenarlos en menos de media hora.
¿Por qué son tan peligrosas las vulnerabilidades de la protección de la capa de transporte?
Tener una protección insuficiente o inexistente en las capas de transporte es peligroso porque facilita enormemente a los hackers la obtención de información sensible. No tienen que entrar en el servidor de su aplicación o hackear su red. Basta con que preparen un ataque de hombre en el medio y lean todo lo que los usuarios envían a un servidor. Esto puede incluir nombres de usuario y contraseñas que pueden ser utilizados para burlar la seguridad en el futuro utilizando credenciales válidas. Dependiendo de la aplicación, esto también podría incluir información de tarjetas de crédito u otros datos personales de los usuarios.
Y es importante tener en cuenta que todo este fisgoneo tiene lugar fuera de su red. Si estás utilizando canales de transporte inseguros, no hay manera de saber si alguien está capturando esa información. Normalmente la primera señal es cuando muchos usuarios comienzan a reportar cuentas comprometidas o compras con tarjeta de crédito, y el factor común es que su aplicación " no es un buen lugar para estar. Los hackers también pueden modificar la información una vez que la tienen, cambiando la dirección de entrega, por ejemplo, o incluso insertando scripts maliciosos en la respuesta del servidor antes de pasarla a los usuarios.
En el backend, la falta de seguridad de la capa de transporte expone los datos a personas con información privilegiada. Probablemente es mucho menos probable que un interno esté fisgoneando la capa de transporte en comparación con los hackers del exterior que hacen lo mismo. Pero también es más peligroso si ocurre, porque la amenaza interna podrá ver no sólo los datos del usuario, sino también cualquier información propietaria añadida por el servidor de la aplicación antes de enviar esos paquetes.
Eliminación de las vulnerabilidades de la protección de la capa de transporte insuficiente
A pesar de lo peligrosa que puede ser una protección insuficiente de la capa de transporte, tampoco es increíblemente difícil asegurar adecuadamente todos sus canales de transporte. Comienza con la infraestructura del backend. Esta debe ser exclusivamente HTTPS, asegúrese de no mezclar HTTPS y HTTP en un sitio. Por último, mantenga un certificado SSL válido con un tamaño de clave mínimo de 2048 bits y obligue a todos los usuarios a interactuar utilizando navegadores seguros con HTTP Strict Transport Security (HSTS).
Una vez establecida la infraestructura, los desarrolladores deben utilizar un protocolo fuerte para proteger la capa de transporte. Lo ideal sería utilizar TLS 1.2, aunque TLS 1.1 y 1.0 también son aceptables si es absolutamente necesario. Una vez que esto esté en su lugar, los protocolos débiles como SSLv2 deben ser completamente desactivados y nunca apoyados.
También hay que tener cuidado de que los cifrados criptográficos sean lo suficientemente potentes en el backend. Lo ideal es que el tamaño mínimo de la clave de sesión sea de 128 bits. Al igual que con los protocolos, el soporte para algoritmos criptográficos débiles como DES y RC4-40 debería estar desactivado. Y por último, no consideres una aplicación realmente segura hasta que tanto el propio servidor como todas las rutas de datos que entran y salen de él estén suficientemente protegidos.
Más información sobre las vulnerabilidades de la protección de la capa de transporte insuficiente
Para más información, puedes echar un vistazo a la guía OWASP para proteger las capas de transporte. También puedes poner a prueba tus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .

Incluso si se ha asegurado completamente un servidor de aplicaciones y los sistemas backend que utiliza, las comunicaciones podrían seguir siendo vulnerables al espionaje si no se cuenta con suficiente protección de la capa de transporte. En el mundo físico, la razón por la que las divisas se mueven utilizando vehículos blindados es para proporcionar protección mientras están en tránsito. En realidad, no importa lo segura que sea una tienda o un banco si el dinero que genera se carga en un carro de golf para atravesar la ciudad.
Lo mismo puede decirse de las capas de transporte en el ámbito cibernético. Aunque una aplicación sea segura, sigue existiendo una vulnerabilidad crítica si la información que entra en ella se envía sin protección. Y hay una segunda vulnerabilidad con algunas aplicaciones si además envían información a otros servidores o a una base de datos. Esa información puede quedar expuesta a personas internas que no tienen por qué husmear en esas transacciones.
Para proteger completamente a los usuarios y los datos es necesario proteger la capa de transporte. Solo así se puede asegurar por completo una transacción de extremo a extremo.
En este episodio, aprenderemos:
- Cómo los piratas informáticos pueden aprovecharse de una protección insuficiente de la capa de transporte
- Por qué es tan peligroso no proteger la capa de transporte
- Qué se puede hacer para asegurar el transporte de todos los datos que entran y pasan por una aplicación o servidor.
¿Cómo aprovechan los atacantes la insuficiente protección de la capa de transporte?
Una protección insuficiente de la capa de transporte puede permitir ataques en dos puntos del flujo de datos. El punto más comúnmente explotado se encuentra entre el usuario y el servidor de aplicaciones. Si la información se envía en claro, o con un cifrado débil, los piratas informáticos podrán controlar, robar y posiblemente cambiar esa información. Esto podría permitir a los hackers robar la tarjeta de crédito de un usuario, sus credenciales de acceso o cualquier otra cosa enviada al servidor de aplicaciones. Incluso si el propio servidor es seguro, un hacker que supervise el canal inseguro entre éste y los usuarios podría obtener un acceso casi ilimitado a mucha información.
El segundo punto que suele quedar sin protección es la capa de transporte entre una aplicación y el resto de la red. Por ejemplo, un servidor de aplicaciones puede procesar pedidos de compras en línea y luego enviarlos a un sistema de cumplimiento, o los datos pueden ser simplemente descargados a una base de datos para su almacenamiento. Si esos canales internos están desprotegidos, los usuarios internos podrían ver esa información.
Aunque es agradable creer que todos los usuarios internos son buenas personas, el hecho es que las amenazas internas están aumentando en muchas industrias. Se ha sorprendido a usuarios internos aceptando sobornos a cambio de recoger información sensible para atacantes o competidores. Y tener acceso a algo como miles de tarjetas de crédito válidas puede ser simplemente demasiado tentador para que algunas personas lo ignoren.
En cuanto a las técnicas de ataque, no es muy difícil interceptar comunicaciones no protegidas. Incluso los hackers de bajo nivel saben cómo realizar ataques man-in-the-middle contra flujos de datos no cifrados. Si no lo saben, hay vídeos en línea que pueden entrenarlos en menos de media hora.
¿Por qué son tan peligrosas las vulnerabilidades de la protección de la capa de transporte?
Tener una protección insuficiente o inexistente en las capas de transporte es peligroso porque facilita enormemente a los hackers la obtención de información sensible. No tienen que entrar en el servidor de su aplicación o hackear su red. Basta con que preparen un ataque de hombre en el medio y lean todo lo que los usuarios envían a un servidor. Esto puede incluir nombres de usuario y contraseñas que pueden ser utilizados para burlar la seguridad en el futuro utilizando credenciales válidas. Dependiendo de la aplicación, esto también podría incluir información de tarjetas de crédito u otros datos personales de los usuarios.
Y es importante tener en cuenta que todo este fisgoneo tiene lugar fuera de su red. Si estás utilizando canales de transporte inseguros, no hay manera de saber si alguien está capturando esa información. Normalmente la primera señal es cuando muchos usuarios comienzan a reportar cuentas comprometidas o compras con tarjeta de crédito, y el factor común es que su aplicación " no es un buen lugar para estar. Los hackers también pueden modificar la información una vez que la tienen, cambiando la dirección de entrega, por ejemplo, o incluso insertando scripts maliciosos en la respuesta del servidor antes de pasarla a los usuarios.
En el backend, la falta de seguridad de la capa de transporte expone los datos a personas con información privilegiada. Probablemente es mucho menos probable que un interno esté fisgoneando la capa de transporte en comparación con los hackers del exterior que hacen lo mismo. Pero también es más peligroso si ocurre, porque la amenaza interna podrá ver no sólo los datos del usuario, sino también cualquier información propietaria añadida por el servidor de la aplicación antes de enviar esos paquetes.
Eliminación de las vulnerabilidades de la protección de la capa de transporte insuficiente
A pesar de lo peligrosa que puede ser una protección insuficiente de la capa de transporte, tampoco es increíblemente difícil asegurar adecuadamente todos sus canales de transporte. Comienza con la infraestructura del backend. Esta debe ser exclusivamente HTTPS, asegúrese de no mezclar HTTPS y HTTP en un sitio. Por último, mantenga un certificado SSL válido con un tamaño de clave mínimo de 2048 bits y obligue a todos los usuarios a interactuar utilizando navegadores seguros con HTTP Strict Transport Security (HSTS).
Una vez establecida la infraestructura, los desarrolladores deben utilizar un protocolo fuerte para proteger la capa de transporte. Lo ideal sería utilizar TLS 1.2, aunque TLS 1.1 y 1.0 también son aceptables si es absolutamente necesario. Una vez que esto esté en su lugar, los protocolos débiles como SSLv2 deben ser completamente desactivados y nunca apoyados.
También hay que tener cuidado de que los cifrados criptográficos sean lo suficientemente potentes en el backend. Lo ideal es que el tamaño mínimo de la clave de sesión sea de 128 bits. Al igual que con los protocolos, el soporte para algoritmos criptográficos débiles como DES y RC4-40 debería estar desactivado. Y por último, no consideres una aplicación realmente segura hasta que tanto el propio servidor como todas las rutas de datos que entran y salen de él estén suficientemente protegidos.
Más información sobre las vulnerabilidades de la protección de la capa de transporte insuficiente
Para más información, puedes echar un vistazo a la guía OWASP para proteger las capas de transporte. También puedes poner a prueba tus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .

Haga clic en el siguiente enlace y descargue el PDF de este recurso.
Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Ver el informeReservar una demostraciónJaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.
Incluso si se ha asegurado completamente un servidor de aplicaciones y los sistemas backend que utiliza, las comunicaciones podrían seguir siendo vulnerables al espionaje si no se cuenta con suficiente protección de la capa de transporte. En el mundo físico, la razón por la que las divisas se mueven utilizando vehículos blindados es para proporcionar protección mientras están en tránsito. En realidad, no importa lo segura que sea una tienda o un banco si el dinero que genera se carga en un carro de golf para atravesar la ciudad.
Lo mismo puede decirse de las capas de transporte en el ámbito cibernético. Aunque una aplicación sea segura, sigue existiendo una vulnerabilidad crítica si la información que entra en ella se envía sin protección. Y hay una segunda vulnerabilidad con algunas aplicaciones si además envían información a otros servidores o a una base de datos. Esa información puede quedar expuesta a personas internas que no tienen por qué husmear en esas transacciones.
Para proteger completamente a los usuarios y los datos es necesario proteger la capa de transporte. Solo así se puede asegurar por completo una transacción de extremo a extremo.
En este episodio, aprenderemos:
- Cómo los piratas informáticos pueden aprovecharse de una protección insuficiente de la capa de transporte
- Por qué es tan peligroso no proteger la capa de transporte
- Qué se puede hacer para asegurar el transporte de todos los datos que entran y pasan por una aplicación o servidor.
¿Cómo aprovechan los atacantes la insuficiente protección de la capa de transporte?
Una protección insuficiente de la capa de transporte puede permitir ataques en dos puntos del flujo de datos. El punto más comúnmente explotado se encuentra entre el usuario y el servidor de aplicaciones. Si la información se envía en claro, o con un cifrado débil, los piratas informáticos podrán controlar, robar y posiblemente cambiar esa información. Esto podría permitir a los hackers robar la tarjeta de crédito de un usuario, sus credenciales de acceso o cualquier otra cosa enviada al servidor de aplicaciones. Incluso si el propio servidor es seguro, un hacker que supervise el canal inseguro entre éste y los usuarios podría obtener un acceso casi ilimitado a mucha información.
El segundo punto que suele quedar sin protección es la capa de transporte entre una aplicación y el resto de la red. Por ejemplo, un servidor de aplicaciones puede procesar pedidos de compras en línea y luego enviarlos a un sistema de cumplimiento, o los datos pueden ser simplemente descargados a una base de datos para su almacenamiento. Si esos canales internos están desprotegidos, los usuarios internos podrían ver esa información.
Aunque es agradable creer que todos los usuarios internos son buenas personas, el hecho es que las amenazas internas están aumentando en muchas industrias. Se ha sorprendido a usuarios internos aceptando sobornos a cambio de recoger información sensible para atacantes o competidores. Y tener acceso a algo como miles de tarjetas de crédito válidas puede ser simplemente demasiado tentador para que algunas personas lo ignoren.
En cuanto a las técnicas de ataque, no es muy difícil interceptar comunicaciones no protegidas. Incluso los hackers de bajo nivel saben cómo realizar ataques man-in-the-middle contra flujos de datos no cifrados. Si no lo saben, hay vídeos en línea que pueden entrenarlos en menos de media hora.
¿Por qué son tan peligrosas las vulnerabilidades de la protección de la capa de transporte?
Tener una protección insuficiente o inexistente en las capas de transporte es peligroso porque facilita enormemente a los hackers la obtención de información sensible. No tienen que entrar en el servidor de su aplicación o hackear su red. Basta con que preparen un ataque de hombre en el medio y lean todo lo que los usuarios envían a un servidor. Esto puede incluir nombres de usuario y contraseñas que pueden ser utilizados para burlar la seguridad en el futuro utilizando credenciales válidas. Dependiendo de la aplicación, esto también podría incluir información de tarjetas de crédito u otros datos personales de los usuarios.
Y es importante tener en cuenta que todo este fisgoneo tiene lugar fuera de su red. Si estás utilizando canales de transporte inseguros, no hay manera de saber si alguien está capturando esa información. Normalmente la primera señal es cuando muchos usuarios comienzan a reportar cuentas comprometidas o compras con tarjeta de crédito, y el factor común es que su aplicación " no es un buen lugar para estar. Los hackers también pueden modificar la información una vez que la tienen, cambiando la dirección de entrega, por ejemplo, o incluso insertando scripts maliciosos en la respuesta del servidor antes de pasarla a los usuarios.
En el backend, la falta de seguridad de la capa de transporte expone los datos a personas con información privilegiada. Probablemente es mucho menos probable que un interno esté fisgoneando la capa de transporte en comparación con los hackers del exterior que hacen lo mismo. Pero también es más peligroso si ocurre, porque la amenaza interna podrá ver no sólo los datos del usuario, sino también cualquier información propietaria añadida por el servidor de la aplicación antes de enviar esos paquetes.
Eliminación de las vulnerabilidades de la protección de la capa de transporte insuficiente
A pesar de lo peligrosa que puede ser una protección insuficiente de la capa de transporte, tampoco es increíblemente difícil asegurar adecuadamente todos sus canales de transporte. Comienza con la infraestructura del backend. Esta debe ser exclusivamente HTTPS, asegúrese de no mezclar HTTPS y HTTP en un sitio. Por último, mantenga un certificado SSL válido con un tamaño de clave mínimo de 2048 bits y obligue a todos los usuarios a interactuar utilizando navegadores seguros con HTTP Strict Transport Security (HSTS).
Una vez establecida la infraestructura, los desarrolladores deben utilizar un protocolo fuerte para proteger la capa de transporte. Lo ideal sería utilizar TLS 1.2, aunque TLS 1.1 y 1.0 también son aceptables si es absolutamente necesario. Una vez que esto esté en su lugar, los protocolos débiles como SSLv2 deben ser completamente desactivados y nunca apoyados.
También hay que tener cuidado de que los cifrados criptográficos sean lo suficientemente potentes en el backend. Lo ideal es que el tamaño mínimo de la clave de sesión sea de 128 bits. Al igual que con los protocolos, el soporte para algoritmos criptográficos débiles como DES y RC4-40 debería estar desactivado. Y por último, no consideres una aplicación realmente segura hasta que tanto el propio servidor como todas las rutas de datos que entran y salen de él estén suficientemente protegidos.
Más información sobre las vulnerabilidades de la protección de la capa de transporte insuficiente
Para más información, puedes echar un vistazo a la guía OWASP para proteger las capas de transporte. También puedes poner a prueba tus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .
Índice
Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.

Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Reservar una demostraciónDescargarRecursos para empezar
Kit de motivación para el liderazgo en ingeniería
¿Necesita ayuda para conseguir la aprobación de los responsables de ingeniería para su programa SCW? Este folleto proporciona las principales ventajas que le ayudarán a comunicar la importancia de su programa de codificación segura.
La potencia de OpenText Fortify + Secure Code Warrior
OpenText Fortify y Secure Code Warrior unen sus fuerzas para ayudar a las empresas a reducir riesgos, transformar a los desarrolladores en campeones de la seguridad y fomentar la confianza de los clientes. Más información aquí.
Recursos para empezar
La Década de los Defensores: Secure Code Warrior Cumple Diez Años
Secure Code Warriorha permanecido unido, dirigiendo el barco a través de cada lección, triunfo y contratiempo durante toda una década. Estamos creciendo y listos para afrontar nuestro próximo capítulo, SCW 2.0, como líderes en gestión de riesgos para desarrolladores.
10 predicciones clave: Secure Code Warrior sobre la influencia de la IA y el diseño seguro en 2025
Las organizaciones se enfrentan a decisiones difíciles sobre el uso de la IA para apoyar la productividad a largo plazo, la sostenibilidad y el retorno de la inversión en seguridad. En los últimos años nos ha quedado claro que la IA nunca sustituirá por completo el papel del desarrollador. Desde las asociaciones entre IA y desarrolladores hasta las crecientes presiones (y confusión) en torno a las expectativas de seguridad por diseño, echemos un vistazo más de cerca a lo que podemos esperar durante el próximo año.
OWASP Top 10 para aplicaciones LLM: Novedades, cambios y cómo mantenerse seguro
Manténgase a la vanguardia de la seguridad de las aplicaciones LLM con las últimas actualizaciones del Top 10 de OWASP. Descubra qué hay de nuevo, qué ha cambiado y cómo Secure Code Warrior le equipa con recursos de aprendizaje actualizados para mitigar los riesgos en la IA Generativa.
La puntuación de confianza revela el valor de las iniciativas de mejora de la seguridad mediante el diseño
Nuestra investigación ha demostrado que la formación en código seguro funciona. Trust Score, que utiliza un algoritmo basado en más de 20 millones de puntos de datos de aprendizaje procedentes del trabajo de más de 250 000 alumnos en más de 600 organizaciones, revela su eficacia a la hora de reducir las vulnerabilidades y cómo hacer que la iniciativa sea aún más eficaz.