Túnel de Seguridad de la Capa de Transporte (TLS VPN)

1️⃣ ALEGORÍA + 🧠 EXPLICACIÓN TÉCNICA

🪄 ALEGORÍA:

Imagina que quieres enviar un mensaje secreto a través de un pasillo lleno de desconocidos. No puedes confiar en nadie que pase por allí. Así que tú y tu amiga crean una cápsula de cristal indestructible, a la que solo ustedes dos tienen llaves. Nadie más puede abrirla ni mirar lo que hay dentro. Además, antes de enviarla, tú y tu amiga se muestran sus carnets mágicos para confirmar que realmente son ustedes.

Esto es exactamente lo que hace una VPN basada en TLS: crea un túnel cifrado entre dos puntos, donde ambos se autentican mutuamente mediante certificados, y donde nadie puede ver ni modificar lo que viaja por dentro.

🧠 EXPLICACIÓN TÉCNICA:

Una VPN TLS (Transport Layer Security) es una arquitectura de VPN moderna que utiliza los protocolos TLS (v1.2 o v1.3) para establecer una conexión segura entre cliente y servidor.

• Utiliza certificados digitales para autenticar al servidor (y opcionalmente al cliente).

• Una vez autenticados, se establece un túnel cifrado por el cual el cliente puede enviar sus credenciales y tráfico de red.

• El protocolo TLS protege la confidencialidad, integridad y autenticidad del canal.

• Se puede implementar sobre TCP (más compatible con firewalls) o UDP (mejor rendimiento en tráfico real-time → DTLS).

Una vez que se establece la conexión, todo el tráfico de red del cliente puede ruteado a través del túnel seguro, funcionando como si estuviera dentro de la red interna.

2️⃣ EJEMPLOS PRÁCTICOS

• Acceso remoto de empleados a la red corporativa desde casa usando OpenVPN con certificados.

• Consultores que acceden a una DMZ segura para revisar logs o dashboards sin exponer servicios directamente a Internet.

• Comunicación segura entre microservicios que requieren túneles cifrados entre APIs internas (usando TLS sobre UDP para rendimiento en video/audio).

3️⃣ APLICACIONES Y HERRAMIENTAS REALES

• 🔐 OpenVPN: uno de los servidores TLS VPN más populares.

• 📊 OPNsense / pfSense: firewalls open-source que permiten configurar VPN TLS con gestión de certificados.

• 🔐 RADIUS/NPS + FreeRADIUS: servicios de autenticación que procesan credenciales tras el establecimiento del túnel TLS.

• 🧰 Let's Encrypt / Vault: para emitir y rotar certificados TLS automáticamente.

• 📜 TLS 1.3: protocolo moderno recomendado, elimina muchos algoritmos débiles.

4️⃣ QUÉ HACE CADA EQUIPO DE SEGURIDAD

🔴 Red Team:

• Intenta realizar ataques tipo MITM (Man-in-the-Middle) cuando TLS está mal configurado.

• Busca debilidades como el uso de TLS 1.0/1.1 obsoletos.

• Intenta forzar al cliente a aceptar certificados inválidos o suplantados.

🔵 Blue Team:

• Implementa y obliga el uso de TLS 1.3 o TLS 1.2 seguro.

• Usa certificados válidos emitidos por una CA de confianza (idealmente privada).

• Habilita revocación de certificados (CRL/OCSP) y rotación periódica.

• Monitorea las conexiones VPN activas, los tiempos de sesión, anomalías y accesos sospechosos.

🟣 Purple Team:

• Verifica que todas las configuraciones estén endurecidas (ciphers, versiones, autenticación mutua).

• Simula ataques de Red Team para validar que Blue los detecta o bloquea.

• Evalúa la rotación de certificados, resistencia a ataques de downgrade y el comportamiento ante conexiones con certificados revocados.

6️⃣ ✅ Resumen práctico

Una VPN basada en TLS permite establecer túneles cifrados altamente seguros entre usuarios remotos y redes internas. Mediante el uso de certificados digitales, autentica tanto al cliente como al servidor, garantizando la identidad de ambas partes.

Este túnel asegura que el tráfico no pueda ser interceptado ni modificado, incluso si pasa por redes públicas como el Internet. Para lograr una implementación segura, se deben usar versiones modernas de TLS (1.3/1.2), certificados válidos, y mecanismos de revocación y auditoría activos.

🧪 EJERCICIOS PURPLE TEAM — VPN TLS

🔐 Ejemplo 1 - Ataque: TLS Downgrade Attack (Nivel Avanzado)

🔴 Red Team ataca:

Un atacante explora las configuraciones del servidor VPN buscando versiones antiguas de TLS (1.0 o 1.1) que sean aceptadas. Intenta forzar un downgrade de la conexión TLS para debilitar el cifrado y capturar credenciales o inyectar código.

🔵 Blue Team defiende:

• El equipo configura el servidor OpenVPN para rechazar cualquier versión TLS obsoleta.

• Se valida que solo TLS 1.3 o TLS 1.2 con cipher suites seguros estén habilitados.

• Se usa un escáner como testssl.sh o Qualys SSL Labs para auditar el nivel de seguridad del servidor.

🟣 Purple Team gestiona:

• Simula el ataque internamente para verificar que el downgrade es bloqueado.

• Valida que los logs registren intentos de conexiones inseguras.

• Redacta una política de cumplimiento para que todo nuevo servidor VPN cumpla con los requisitos de TLS seguros.

✅ Resultado: Se asegura que la infraestructura de VPN solo acepta conexiones modernas y seguras, bloqueando ataques de degradación.

🕵️‍♂️ Ejemplo 2 - Ataque: Falsificación de Certificado (Fake CA Injection) (Nivel Experto)

🔴 Red Team ataca:

El atacante intenta engañar al cliente con un certificado TLS falso firmado por una CA maliciosa. Si el cliente no valida correctamente el certificado, se establece un túnel con un atacante que hace Man-in-the-Middle (MITM).

🔵 Blue Team defiende:

• Configura los clientes para que solo acepten certificados firmados por una CA privada interna de la empresa.

• Implementa verificación OCSP/CRL para revocar certificados comprometidos.

• Integra el servidor VPN con autenticación mutua, exigiendo certificados cliente.

🟣 Purple Team gestiona:

• Lanza pruebas MITM con herramientas como BetterCAP o mitmproxy en un entorno controlado.

• Comprueba que el cliente rechaza los certificados falsos.

• Realiza revisiones regulares de los certificados válidos en uso, incluyendo fechas de expiración.

✅ Resultado: El sistema es resistente a ataques de falsificación de identidad. Solo certificados válidos permiten acceso a la red.

🧠 Ejemplo 3 - Ataque: Tunnel Pivoting para Movimientos Laterales (Nivel Maestro)

🔴 Red Team ataca:

Un atacante con credenciales válidas de VPN se conecta como usuario legítimo, pero tras establecer la VPN, comienza a hacer movimientos laterales en la red interna usando el túnel seguro, aprovechando que tiene visibilidad completa.

🔵 Blue Team defiende:

• Implementa segmentación de red interna: el túnel VPN solo tiene acceso a los recursos mínimos necesarios.

• Utiliza NAC (Network Access Control) para aplicar políticas dinámicas.

• Despliega detección de comportamiento anómalo: si un cliente conectado al VPN accede a sistemas no autorizados, se genera una alerta.

🟣 Purple Team gestiona:

• Realiza simulaciones de movimientos laterales tras conexión VPN.

• Verifica que las reglas de segmentación aplican correctamente por rol de usuario.

• Analiza los logs del sistema VPN y SIEM para confirmar la detección del comportamiento anómalo.

✅ Resultado: Aunque el atacante tenga credenciales válidas, su capacidad de moverse lateralmente está severamente limitada y genera alertas inmediatas.