Certificados de seguridad obsoletos cuestionan la confiabilidad SSL

Como consumidores, nos han enseñado a confiar en el icono de candado que aparece en la barra de direcciones de nuestros navegadores. Nos dicen que es una señal de que nuestra comunicación con un sitio web es segura. Pero un incidente esta semana que involucra a Google y una compañía de seguridad turca desmiente esa noción.

La compañía, TurkTrust, reveló esta semana que en agosto de 2011 emitió accidentalmente dos llaves maestras para dos "entidades". Las claves maestras, que se llaman certificados intermedios, permiten a las entidades crear certificados digitales para cualquier dominio en Internet.

Los certificados digitales son en realidad claves de cifrado que se utilizan para verificar que un sitio web es lo que dice. El certificado de su banco, por ejemplo, verifica a su navegador que está hablando con su banco cuando hace banca en línea.

[Lectura adicional: Cómo eliminar el malware de su PC con Windows]

Se usan certificados para encriptar información entre usted y un sitio web, también. Eso es lo que significa el candado verde en la barra de direcciones de su navegador. El navegador se está comunicando con el sitio web utilizando Secure Sockets Layer, luego de verificar su autenticidad. Un intruso de Internet con un certificado falso que puede interceptar la comunicación entre usted y un sitio web de confianza puede engañar a su navegador haciéndole creer que se está comunicando con el sitio confiable. y secuestrar su comunicación. Eso se conoce como "ataque de hombre en el medio" porque el ladrón se encuentra entre usted y el sitio de confianza.

Se corrigió el error, el problema continúa

Google detectó el error de TurkTust en una función que tiene en su navegador Chrome plataforma que levanta una bandera roja a Google cuando alguien intenta usar la plataforma con un certificado no autorizado.

Después de descubrir el problema del certificado, Google informó a TurkTrust de la situación, así como a Microsoft y Mozilla, quienes han modificado sus plataformas de navegador para bloquear certificados fraudulentos creados con la autoridad de certificación intermedia.

Este snafu de certificado es simplemente el último signo de que el sistema existente de emisión de certificados digitales necesita reparación. En marzo de 2011, por ejemplo, se violó una empresa afiliada a la autoridad emisora ​​de certificados Comodo y se emitieron nueve certificados falsos.

Más tarde en el año, los piratas informáticos violaron una autoridad certificadora holandesa, DigiNotar, y emitieron docenas de certificados falsos, incluyendo uno para Google. Las consecuencias de ese incidente pusieron a la compañía fuera del negocio.

Se busca: seguridad de próxima generación

Se han emitido varias propuestas para abordar los problemas de seguridad que rodean a los certificados.

Hay convergencia. Permite que un navegador obtenga una segunda opinión sobre un certificado de una fuente elegida por un usuario. "Es una idea brillante, pero tan pronto como ingresas en una red corporativa y estás detrás de un proxy o detrás de un traductor de red, puede romperse", dijo en una entrevista Chet Wisniewski, un asesor de seguridad de Sophos.

Hay DNSSEC. Utiliza el sistema de resolución de nombres de dominio, el sistema que convierte los nombres comunes de los sitios web en números, para crear un enlace de confianza entre el usuario y el sitio web. No solo el sistema no es fácil de entender, sino que la implementación podría llevar años.

"El problema con DNSSEC es que requiere implementar una nueva tecnología y una actualización coordinada de la infraestructura antes de que podamos aprovecharla", dijo Wisniewski. "Con las tasas de adopción que hemos visto hasta ahora, eso significa que no tendremos una solución en funcionamiento durante diez o 15 años. Eso no es suficiente".

También se propusieron dos técnicas de "fijación": fijación de clave pública Extensión para HTTP y Aserciones de confianza para claves de certificado (TACK), que son similares.

Permiten que un sitio web modifique un encabezado HTTP para identificar las autoridades de certificación en las que confía. Un navegador almacenaría esa información y solo establecería una conexión a un sitio web si recibe un certificado firmado por una autoridad de certificación en la que confía el sitio web.

Según Wisniewski, las propuestas de fijación son las más probables de ser adoptadas para solucionar el problema del certificado. "Podrían adoptarse en poco tiempo", dijo. "Permiten que las personas que desean aprovechar la seguridad avanzada lo hagan de inmediato, pero no infringen ningún navegador web existente que no esté actualizado".

Cualquier esquema que los fabricantes de navegadores adopten para abordar el problema del certificado, necesitan hazlo pronto De lo contrario, snafus continuará proliferando y la confianza en Internet puede verse dañada irreparablemente.