SSLyze: Conoce esta herramienta para analizar la seguridad SSL/TLS de un servidor web

Escrito por Sergio De Luz

En RedesZone hemos hablado en otras ocasiones de herramientas para comprobar la seguridad SSL TLS de una web con HTTPS. También os hemos enseñado a realizar configuraciones seguras en tu servidor web, activando únicamente protocolos seguros y suites de cifrado seguras. Además, para que HTTPS sea seguro, debemos prestar especial atención a los certificados SSL, y os hemos ayudado a monitorizarlos con esta herramienta. Hoy os traemos SSLyze, una herramienta en Python que se ejecuta a través de la línea de comandos, y que nos dirá si una web es o no segura.

Principales características de SSLyze

SSLyze está escrita en lenguaje Python, es una herramienta que se ejecuta a través de la línea de comandos y que nos permite analizar la configuración SSL TLS de un servidor, conectándose a dicho servidor y probando diferentes protocolos. Esta herramienta se ha diseñado específicamente para ser rápida y muy completa, ideal para ayudar al administrador de sistemas a configurar de manera segura su servidor web con SSL TLS. Esta herramienta también nos va a permitir identificar configuraciones incorrectas que afectarían a la seguridad de los visitantes a nuestra web.

Otras características de SSLyze es que los escaneos se realizan automáticamente en múltiples conexiones, haciendo que los resultados se nos muestren mucho más rápidos. Esta herramienta también permite realizar pruebas de rendimiento, comprobando la reanudación de sesión TLS y si nuestro servidor web soporta tickets TLS. SSLyze también va a ser capaz de identificar las renegociaciones inseguras, ataques a HTTPS como CRIME o Heartbleed, así como comprobar que los certificados del sitio web son válidos, o por el contrario, han caducado o han sido revocados. Otras funciones muy interesantes es que también soporta el protocolo StartTLS, un protocolo que usan servicios como SMTP, XMPP, LDAP, POP, IMAP, RDP y FTP.

Los resultados del análisis se pueden exportar a un archivo XML o JSON para su posterior tratamiento.

Instalación de SSLyze en Debian 9

Nosotros hemos probado la herramienta SSLyze en el sistema operativo Debian 9, pero también es compatible con sistemas operativos Windows debido a que está escrita en Python. Por tanto, si en tu ordenador tienes Windows con Python instalado, podrás descargar, instalar y utilizar SSLyze sin ningún problema.

Lo primero que tenemos que hacer en Debian, si es que no lo tenemos instalado ya, es instalar Python con Pip, y también Git para clonar el repositorio:

sudo apt install python-dev python-pip

Una vez instalado, deberemos poner las siguientes órdenes para instalar SSLyze a través de pip:

pip install --upgrade setuptools
pip install sslyze

Probando SSLyze para ver si el dominio de RedesZone.net está bien configurado

Una vez que lo hayamos instalado, simplemente deberemos ejecutar el siguiente comando para escanear cualquier dominio. Nosotros hemos escaneado el dominio de www.redeszone.net:

sslyze --regular www.redeszone.net

El resultado se nos mostrará a medida que realiza todas las pruebas, en nuestro caso ha tardado tan solo 4 segundos en escanear y mostrar toda la información HTTPS del dominio. En las siguientes capturas de pantalla podéis ver el resultado que hemos obtenido:

Os recomendamos acceder al proyecto oficial de SSLyze en GitHub, aquí encontraréis todo el código fuente de la herramienta, cómo debemos utilizarla, e incluso toda la documentación oficial de la herramienta.

Últimos análisis

Valoración RZ
10
Valoración RZ
8
Valoración RZ
9
Valoración RZ
9
Valoración RZ
10
Valoración RZ
9
Valoración RZ
10
Valoración RZ
7
Valoración RZ
9