¿HTTPS proporciona disponibilidad?

  

El documento Sobre la seguridad del protocolo TLS sugiere que HTTPS ofrece disponibilidad

No, no lo hace.

Cita de la sección correspondiente del documento:

  

II. Objetivos de seguridad

     

...

     

El objetivo principal de TLS, definido en su especificación, es   “Seguridad criptográfica” [3]. Este objetivo ya se refiere a la   Rincón de confidencialidad de la tríada de la CIA . La tríada de la CIA describe la   objetivos de seguridad más necesarios que una aplicación segura debe cumplir en   Para proporcionar seguridad de datos. Los siguientes tres elementos de enumeración   describe las esquinas de la tríada de la CIA [2].

El documento afirma que el primer objetivo de seguridad de TLS "Seguridad criptográfica" coincide con la confidencialidad en la tríada de la CIA. El documento no afirma que TLS cumpla con las otras dos esquinas de la tríada.

  

¿HTTPS proporciona disponibilidad?

No, no lo hace.

Si nos referimos a RFC 5246 , TLS tiene cuatro objetivos:

  

2. Objetivos

     

Los objetivos del protocolo TLS, en orden de prioridad, son los siguientes:

     

1. Seguridad criptográfica: TLS debe usarse para establecer una conexión segura entre dos partes.
  
2. Interoperabilidad: los programadores independientes deben poder desarrollar aplicaciones utilizando TLS que puedan intercambiar con éxito   Parámetros criptográficos sin conocimiento del código del otro.
  
3. Extensibilidad: TLS busca proporcionar un marco en el que se puedan incorporar nuevas claves públicas y métodos de encriptación masiva como   necesario. Esto también logrará dos sub-objetivos: prevenir la   necesidad de crear un nuevo protocolo (y arriesgar la introducción de   posibles nuevas debilidades) y evitar la necesidad de implementar una totalidad   Nueva biblioteca de seguridad.
  
4. Eficacia relativa: las operaciones criptográficas tienden a hacer un uso intensivo de la CPU, en particular las operaciones de clave pública. Por esta razón, la   El protocolo TLS ha incorporado un esquema de almacenamiento en caché de sesión opcional para   reducir el número de conexiones que deben establecerse desde   rasguño. Además, se ha tenido cuidado para reducir la actividad de la red.
  

Si bien el documento no hizo una declaración de integridad, TLS junto con el certificado x509 asociado en realidad también cumplen con los criterios de integridad, siempre que confíe en el sistema de CA. La confidencialidad en TLS se logra mediante la firma criptográfica y el MAC de cada paquete transferido en la conexión, lo que evita que los datos que viajan a través de la conexión se alteren sin ser notados.

TLS no mejora directamente la disponibilidad, aunque puede mejorar la disponibilidad en algunos escenarios, como cuando se usa con un certificado de cliente, se puede configurar un terminador TLS para rechazar las conexiones no autenticadas / autenticadas incorrectamente antes de enviar un proxy al servidor real, que podría reducir el impacto del abuso en un recurso escaso en el servidor real.

Si leo el documento correctamente, la disponibilidad en este contexto simplemente significa que TLS no tiene propiedades intrínsecas que limiten la disponibilidad. No significa que el uso de TLS por sí mismo aumente la disponibilidad porque TLS solo proporciona transporte seguro.

Por supuesto, el uso práctico de TLS puede aumentar y disminuir la disponibilidad. Se podría alcanzar una mayor disponibilidad, por ejemplo, porque el transporte de datos confidenciales como contraseñas está protegido contra el rastreo y, por lo tanto, es más difícil para un atacante obtener las credenciales necesarias para piratear un sistema específico (lo que disminuiría su disponibilidad). La disponibilidad disminuida puede ocurrir porque TLS necesita más recursos para la misma carga de tráfico, por lo que, a menos que el hardware se adapte en consecuencia, la disponibilidad es menor que sin TLS.