La configuración avanzada de certificados SSL en dispositivos FortiGate es esencial para gestionar de forma eficiente y segura las conexiones cifradas en la red. Este tipo de configuración se centra en el manejo de certificados SSL inválidos, tales como los caducados, revocados o aquellos que presentan fallas en la validación, permitiendo al administrador definir políticas específicas para cada caso. El objetivo principal es garantizar que el tráfico SSL se inspeccione respetando el nivel deseado de seguridad y evitar interrupciones no deseadas en las comunicaciones, optimizando a la vez la protección contra ataques o anomalías.
Campos principales
A continuación se describen los campos típicos que se encuentran en esta configuración de SSL en FortiGate y su impacto en la seguridad y el flujo del tráfico SSL:
- Expired certificates (Certificados caducados): Define cómo manejar los certificados que han superado su fecha de expiración. Puede configurarse para bloquear, permitir o confiar solo bajo ciertas condiciones. Bloquear evita conexiones inseguras, pero puede afectar usuarios con certificados legítimos desactualizados.
- Revoked certificates (Certificados revocados): Indica la acción ante certificados listados como revocados en la CRL (Certificate Revocation List). La configuración recomendada es bloquear para evitar riesgos de seguridad.
- Validation timed-out certificates (Certificados con validación expirada): Maneja aquellos certificados cuyo proceso de validación excede un tiempo límite, lo que puede indicar problemas en la conexión con la autoridad certificadora. La opción puede ser permitir o bloquear para balancear la usabilidad y seguridad.
- Validation failed certificates (Certificados con fallo en validación): Esta opción controla qué sucede cuando la validación del certificado falla por motivos diversos, como problemas de cadena o incompatibilidades. Normalmente, bloquear es la opción más segura.
- Invalid SSL certificates (Certificados SSL inválidos): Es el campo general que agrupa las políticas aplicadas a las categorías mencionadas. Puede establecer un comportamiento uniforme (permitir, bloquear) o personalizado (“Custom”) para manejar cada tipo específico.
- Log SSL anomalies (Registrar anomalías SSL): Activar esta opción permite llevar un registro detallado de eventos relacionados con certificados invalidos o problemas SSL, crucial para auditorías y diagnóstico de incidentes.
Escenarios de uso y recomendaciones
Esta configuración es especialmente útil en entornos donde se inspecciona tráfico HTTPS mediante técnicas como SSL Deep Inspection. Algunos escenarios comunes incluyen:
- Empresas que necesitan controlar y filtrar el acceso a sitios web mediante inspección SSL, asegurándose que los certificados engañosos o caducados no comprometan la seguridad.
- Entornos regulados que exigen auditorías precisas de conexiones cifradas y prevenir riesgos derivados de certificados revocados o inválidos.
- Redes que enfrentan problemas de conectividad por políticas muy restrictivas, permitiendo configuraciones personalizadas para evitar bloqueos innecesarios.
Si esta configuración está mal aplicada, por ejemplo bloqueando todos los certificados caducados sin excepciones, puede provocar la interrupción de servicios legítimos o generar molestias a los usuarios. Por otro lado, permitir indiscriminadamente certificados inválidos puede abrir puertas a ataques tipo Man-In-The-Middle o conexiones maliciosas.
Fortinet recomienda configurar cada parámetro siguiendo una evaluación cuidadosa del riesgo actualmente aceptable, manteniendo el registro de anomalías activado y comprobando periódicamente que las listas de revocación estén actualizadas.
Comandos de CLI útiles para diagnóstico
Para administrar y verificar esta configuración en FortiGate, estos comandos CLI son esenciales:
show full-configuration system ssl: Muestra la configuración completa relacionada con SSL, incluyendo certificados y políticas de manejo de errores.diagnose debug application ssl 255: Activa el modo debug para SSL, permitiendo ver en vivo los errores y comportamiento durante la inspección de tráfico.diagnose debug enable: Habilita el modo debug general para seguimiento detallado.execute log filter field subtype ssl: Filtra los registros para mostrar solo eventos relacionados con SSL, útil para revisar anomalías y bloqueos específicos.get system performance top: Permite monitorear el rendimiento del dispositivo, importante para identificar si las políticas SSL impactan en la carga.
Buenas prácticas de configuración
- Establecer políticas diferenciadas para cada tipo de certificado inválido según el contexto y riesgo específico de la red.
- Activar siempre el registro de anomalías para facilitar la detección rápida de problemas de seguridad o rendimiento.
- Mantener actualizadas las listas de revocación (CRL) y usar OCSP para validación en tiempo real cuando sea posible.
- Probar las configuraciones con tráfico real en ambientes controlados para evitar interrupciones masivas.
- Documentar cualquier excepción que se permita para garantizar auditorías claras y cumpliendo estándares internos o regulatorios.
- Capacitar al personal de redes y seguridad sobre las implicaciones de cada opción para evitar errores comunes como permisividad excesiva o bloqueos totales innecesarios.