El cliente inicia TLS y propone cómo quiere proteger la conexión.
Envía una propuesta: versiones y algoritmos compatibles.
Elige una opción compatible para continuar.
Pasos que hace SSL/TLS
El cliente inicia TLS y propone cómo quiere proteger la conexión.
Envía una propuesta: versiones y algoritmos compatibles.
Elige una opción compatible para continuar.
El servidor envía su certificado, que incluye su llave pública.
Envía certificado: identidad del dominio + llave pública.
Recibe el certificado y con él la llave pública del servidor.
El cliente verifica que ese certificado sea legítimo (no es un impostor).
Valida dominio, vigencia y firma usando llaves públicas de CA en el sistema.
La CA no participa en la conexión; solo firmó el certificado previamente.
Se construye un secreto compartido usando la llave pública del servidor.
Genera un secreto aleatorio y lo protege con la llave pública del servidor.
Recibe el secreto protegido (no puede leerse en tránsito).
El servidor usa su llave privada para recuperar el mismo secreto.
Usa su llave privada (que nunca sale del servidor) para obtener el secreto.
Ya tenía ese secreto original. Ahora ambos comparten el mismo secreto.
Ambos calculan la llave de sesión a partir del secreto (no se envía por la red).
Deriva llave de sesión con el secreto y datos del handshake.
Hace el mismo cálculo y obtiene la misma llave de sesión.
Con la llave de sesión, todo se cifra y se descifra durante la comunicación.
Cifra lo que sale y descifra lo que entra usando la llave de sesión.
Verifica integridad y descifra/cifra con la misma llave de sesión.