L11 — Lab openssl y pinning conceptual

~5 h · Semana 3

Objetivo

Verificar manualmente un certificado contra el hostname y discutir por qué el pinning raramente se hace a mano en web apps.

Por qué importa

Entender confianza del SO vs pinning evita modas peligrosas en apps móviles y APIs.

Conceptos

• Hostname verification.
• Pinning vs CA store.
• MITM (ataque de intermediario) en redes captive portal.

Pasos (hazlos en orden)

1. Lectura dirigida (60–90 min)

Lee la sección indicada en la ficha de la materia y subraya solo lo que vas a probar hoy en terminal o en projects/.

2. Carpeta de evidencia (15–20 min)

Crea o actualiza la carpeta del proyecto de la materia. Cada lección añade una sección en la bitácora semanal o un archivo dedicado; no disperses notas sueltas.

3. Laboratorio / trabajo documental (90–120 min)

Prueba curl contra un host con SNI correcto e incorrecto (--resolve si hace falta). Documenta error esperado.

4. Conexión con el plan (30–45 min)

Escribe un párrafo en la bitácora: cómo lo de hoy afecta al piloto Agenda Ops (M12 en adelante) o a la API (interfaz de programación de aplicaciones) que desplegarás en M17/M19. Si aún no tienes SRS (especificación de requisitos de software), usa el escenario del producto del plan (citas, clientes, panel).

5. Commit atómico (15 min)

git add projects/
git status
git commit -m "docs(m10): l11 lab-openssl-y-pinning-conceptual"

Lectura de esta lección

Fuente	Qué leer	Alternativa
Plan	Hilo seguridad	OWASP (proyecto abierto de seguridad en aplicaciones web) Transport Layer Protection (vista rápida)
Catálogo	Entrada M10	Bibliografía · M10

Hecho cuando

1. Experimento SNI/hostname documentado.
2. Opinión fundamentada sobre pinning.
3. Entrada P1 semana 3.

Errores comunes

• Deshabilitar verificación TLS (seguridad de la capa de transporte) en prod “temporalmente”.
• Pinning sin plan de rotación.

Siguiente

L12 — MITM conceptual y amenazas de enlace