En RedesZone hemos hablado en otras ocasiones de herramientas para comprobar la seguridad SSL TLS de una web con HTTPS. También os hemos enseñado a realizar configuraciones seguras en tu servidor web, activando únicamente protocolos seguros y suites de cifrado seguras. Además, para que HTTPS sea seguro, debemos prestar especial atención a los certificados SSL, y os hemos ayudado a monitorizarlos con esta herramienta. Hoy os traemos SSLyze, una herramienta en Python que se ejecuta a través de la línea de comandos, y que nos dirá si una web es o no segura.

Principales características de SSLyze

SSLyze está escrita en lenguaje Python, es una herramienta que se ejecuta a través de la línea de comandos y que nos permite analizar la configuración SSL TLS de un servidor, conectándose a dicho servidor y probando diferentes protocolos. Esta herramienta se ha diseñado específicamente para ser rápida y muy completa, ideal para ayudar al administrador de sistemas a configurar de manera segura su servidor web con SSL TLS. Esta herramienta también nos va a permitir identificar configuraciones incorrectas que afectarían a la seguridad de los visitantes a nuestra web.

Otras características de SSLyze es que los escaneos se realizan automáticamente en múltiples conexiones, haciendo que los resultados se nos muestren mucho más rápidos. Esta herramienta también permite realizar pruebas de rendimiento, comprobando la reanudación de sesión TLS y si nuestro servidor web soporta tickets TLS. SSLyze también va a ser capaz de identificar las renegociaciones inseguras, ataques a HTTPS como CRIME o Heartbleed, así como comprobar que los certificados del sitio web son válidos, o por el contrario, han caducado o han sido revocados. Otras funciones muy interesantes es que también soporta el protocolo StartTLS, un protocolo que usan servicios como SMTP, XMPP, LDAP, POP, IMAP, RDP y FTP.

Los resultados del análisis se pueden exportar a un archivo XML o JSON para su posterior tratamiento.

Instalación de SSLyze en Debian 9

Nosotros hemos probado la herramienta SSLyze en el sistema operativo Debian 9, pero también es compatible con sistemas operativos Windows debido a que está escrita en Python. Por tanto, si en tu ordenador tienes Windows con Python instalado, podrás descargar, instalar y utilizar SSLyze sin ningún problema.

Lo primero que tenemos que hacer en Debian, si es que no lo tenemos instalado ya, es instalar Python con Pip, y también Git para clonar el repositorio:

sudo apt install python-dev python-pip