Man in the Middle: cómo se interpone un atacante y cómo detectarlo

1 · Qué significa estar en medio

Un ataque adversary-in-the-middle ocurre cuando una tercera parte logra situarse en el camino lógico entre dos extremos y puede observar, retransmitir o modificar su comunicación sin que ambos lo adviertan. La posición en la ruta no basta para leer HTTPS: el atacante también tendría que romper la autenticación del canal, conseguir que el usuario ignore un error o controlar una autoridad de confianza.

2 · Dónde puede aparecer la intermediación

«MITM» describe una posición y una consecuencia, no una única técnica. Para investigar un caso, separa el nivel donde se altera el camino del control que debería protegerlo.

3 · Qué protege TLS y dónde termina su garantía

TLS 1.3 establece claves compartidas, cifra el canal, comprueba la integridad del handshake y autentica al servidor; el cliente es opcional. Para que esa autenticación sirva, el cliente debe validar la cadena de confianza, la vigencia y que el nombre solicitado aparezca en el certificado. El candado indica un canal válido hacia ese nombre: no demuestra que la organización detrás del sitio sea honesta.

• HTTPS de extremo a servidor: protege el tramo entre cliente y origen TLS, salvo que exista un proxy confiado que termine el canal.
• HSTS: ordena al navegador usar HTTPS y tratar los errores TLS como fatales para el host conocido; la precarga también protege el primer contacto.
• Cifrado de extremo a extremo: mantiene el contenido cifrado hasta el destinatario final cuando el protocolo verifica correctamente sus claves.
• VPN: cifra desde el dispositivo hasta la salida VPN. Reduce la exposición en la red local, pero traslada confianza al proveedor y no sustituye HTTPS.

4 · Laboratorio local: deja que TLS falle correctamente

Necesitas OpenSSL 1.1.1 o posterior y curl. Ejecuta el ejercicio en Linux o macOS; en Windows puedes usar una sesión WSL propia con esas herramientas. Comprueba que openssl version devuelve OpenSSL y no LibreSSL; macOS puede incluir LibreSSL como comando del sistema. El certificado y la clave solo sirven para este laboratorio local.

Terminal 1. Crea un certificado autofirmado de un día para localhost y levanta un servidor de prueba:

Terminal 2. Intenta conectar sin añadir esa autoridad local:

La primera petición falla aunque el canal pueda cifrarse: falta una ruta de confianza hacia el certificado. La segunda funciona porque --cacert añade confianza solo a esa ejecución. No has instalado una CA global ni desactivado la validación. Detén el servidor con Ctrl + C y elimina la carpeta de laboratorio cuando termines.

5 · Detectar: combina señales antes de concluir

Un MITM rara vez queda demostrado por una sola observación. Registra hora, red, interfaz, nombre solicitado, resolvedor, gateway y error exacto. Después compara desde otra conexión conocida y con el inventario del entorno. La lentitud, por sí sola, no es evidencia.

• □La puerta de enlace y el resolvedor coinciden con la configuración autorizada
• □La MAC del gateway no cambia de forma inexplicable durante el incidente
• □El certificado presenta el nombre, emisor y vigencia esperados
• □El navegador no muestra degradación a HTTP, contenido mixto ni avisos TLS
• □La misma consulta se compara desde una segunda red conocida
• □Los cambios se correlacionan con logs de DHCP, DNS, proxy, Wi-Fi y switches

6 · Prevenir y responder sin destruir evidencia

1. En el endpoint: mantén sistema y navegador actualizados, no instales CA desconocidas, usa HTTPS y verifica alertas antes de autenticarte.
2. En la aplicación: aplica TLS moderno en todas las rutas, HSTS, cookies Secure, validación estricta de certificados y MFA resistente al phishing cuando el riesgo lo exija.
3. En la red: segmenta, protege la administración, usa 802.1X cuando proceda y activa controles como DHCP Snooping y Dynamic ARP Inspection en equipos compatibles.
4. Si sospechas un incidente: deja de introducir secretos, desconecta esa red, conserva capturas y mensajes, informa al responsable y revoca sesiones desde un canal limpio.
5. Después: rota credenciales solo desde un dispositivo y red confiables, revisa CA instaladas, perfiles, proxy, DNS y accesos recientes; documenta qué señal confirmó o descartó la hipótesis.

Glosario