TLS-Scanner (y otros): evaluación de configuración de servidores de TLS

TLS-Scanner es una herramienta creada por la Cátedra de Seguridad de Redes y Datos de la Ruhr-University Bochum para ayudar a los pentesters e investigadores de seguridad en la evaluación de las configuraciones del servidor TLS.

Permite recopilar información básica, como por ejemplo: suites de cifrado soportadas, versiones o si el servidor soporta, prefiere o fuerza PFS y el listado de prioridad de suites de cifrado.

Esta es la primera versión de la herramienta, pudiendo hacer de momento un escaneo del servidor en 20 segundos. El escáner también es capaz de evaluar varias extensiones de TLS, pudiendo evaluar constantes soportadas, algoritmos de firmas y hashes, formatos de puntos EC o strings ALPN.

Además de recopilar información básica, la herramienta es capaz de detectar bugs donde el servidor rechaza intentos de conexión válidos. Su característica más destacable es la evaluación de diversas vulnerabilidades que podrían afectar al servidor.

Este proyecto se irá actualizando con el tiempo y, aunque sea mayormente una herramienta para el servidor, también hay un prototipo para clientes. Es probable que la herramienta actualmente tenga algún bug, siendo la primera versión.

Sin dudas un excelente complemento a las herramientas online SSLabs (by Qualys) y SSLShopper y las herramientas offline TestSSL.sh y SSLyze que permite obtener resultados similares.

Fuente: Security News for Everyone

Suscríbete a nuestro Boletín