Redes e protocolos · protocolo

TLS Handshake, certificados e SNI

Metadados TLS ajudam a descrever negociação e identidade de serviços criptografados.

Conceito e funcionamento

TLS negocia versões, algoritmos e chaves para proteger o canal, com autenticação do servidor em cenários usuais. Certificado, SNI, ALPN e metadados de handshake podem oferecer contexto, mas alguns campos são opcionais, podem ser ocultados ou variam conforme versão. Não infira o conteúdo de uma sessão criptografada a partir do tamanho de pacotes.

Como investigar e correlacionar

Investigue versão negociada, certificado, cadeia de confiança, nome do serviço, resolução DNS e origem da conexão. Registre o ponto de captura e os metadados efetivamente visíveis. Compare com configuração de proxy e logs de aplicação autorizados, distinguindo erro de handshake de falha posterior do aplicativo.

Consulta ou exemplo orientativo

Execute somente em ambiente autorizado, com privilégios e ferramentas adequados. A saída depende da configuração da fonte.

Bash
openssl s_client -connect example.org:443 -servername example.org -brief </dev/null

ESTUDO DE CASO · CENÁRIO SINTÉTICO

Aplicação em uma investigação

Situação

Um proxy apresenta erros de certificado após troca de cadeia intermediária, confundidos com ataque de interceptação.

Procedimento orientado

Examine handshake autorizado, nome de servidor, certificado, prazo e trust chain; compare dados do proxy e serviço.

Resultado esperado

A análise deve evidenciar falha de configuração de confiança ou negociação, sem alegar leitura do payload criptografado.

Cuidados adicionais

ECH ou retomada de sessão podem limitar metadados visíveis e invalidar regras apoiadas somente em SNI.

Limitações e interpretações incorretas

ECH pode ocultar SNI; sessões retomadas e middleboxes alteram metadados. Certificados válidos não garantem finalidade benigna, e certificados inválidos nem sempre significam ataque. Inspeção TLS pode implicar obrigações de privacidade e autorização.

Checklist de validação

  • Identificar versão e destino
  • Verificar certificado e cadeia
  • Cruzar DNS e proxy
  • Não presumir payload visível

Referências técnicas

Guias para aprofundar

  • jornada do log ate alerta — aguardando publicação editorial