HTTPS es un protocolo HTTP muy conocido, cubierto con una capa de bondad de encriptación SSL/TLS. Este protocolo está destinado a proporcionar confidencialidad e integridad mediante la encriptación de las comunicaciones entre su servidor y sus usuarios finales, haciendo que sus datos estén a salvo de miradas indiscretas.
4D v16 R6 va un paso más allá: El servidor 4D Web ahora soporta Perfect Forward Secrecy (PFS). Esto le proporciona el más alto nivel de seguridad para sus comunicaciones – ¡por defecto! Más allá de la protección que proporciona, el soporte de PFS también aumenta los resultados de las pruebas de auditoría SSL de un servidor 4D listo para usar, lo que es genial para nuestros clientes. Especialmente para aquellos que trabajan con información sensible.
Aumento de la seguridad por defecto
El nivel de seguridad por defecto del servidor 4D Web ha sido incrementado para cumplir con ciertas características de seguridad de red (App Transport Security (ATS) en iOS, por ejemplo), y para obtener mejores resultados en las pruebas de auditoría de seguridad web (por ejemplo: SSL Labs).
Para ello, hemos
- activado el Perfect Forward Secrecy, y
- desactivado el algoritmo RC4 de la lista de cifrado.
Como resultado, el servidor web de 4D ahora obtiene una clasificación «A» en la prueba de servidores de SSL Labs – tal cual, ¡no se requiere ninguna acción!
Perfect Forward Secrecy (secreto perfecto)
PerfectForward Secrecy (PFS) es un algoritmo de intercambio de claves. Utiliza algoritmos Diffie-Hellman (DH) para generar claves de sesión de tal manera que sólo las dos partes involucradas en la comunicación puedan obtenerlas.
4Dhabilita automáticamente PFS cuando se activa TLS en el servidor. Para ello, 4D genera un archivo«dhparams.pem» – si no existe ya – que contiene la clave privada DH de su servidor. Si utiliza la lista de cifrado estándar de 4D, PFS está listo para ser utilizado. Si prefiere utilizar una lista de cifrado personalizada, verifique que contiene entradas con algoritmos ECDH o DH.
Para saber si PFS está activado en su servidor web, ejecute el comando WEB Get server info con el nuevo atributo perfectForwardSecrecy. Esto comprueba si se cumplen todas las condiciones necesarias para utilizar PFS:
- TLS está activado
- La lista de cifrado contiene al menos un algoritmo ECDH o DH
- El archivo«dhparams.pem » está presente y es válido
- Todos los certificados SSL/TLS están presentes
Algoritmo RC4 desactivado
El algoritmo RC4 tiene problemas de seguridad conocidos y ahora está obsoleto en 4D Web Server. Se han eliminado todos los cifrados RC4 de la lista de cifrados por defecto y se ha añadido el patrón «!RC4» a la lista de cifrados actualizada para prohibirlo explícitamente.