30 de marzo de 2011
El protocolo HTTPS sufre un ataque
Https es el protocolo que se utiliza en la navegación de Internet para que los datos que se manejen vayan cifrados. Hasta ahora, siempre se ha dicho que este protocolo es totalmente seguro y muy recomendable su utilización para aquellas aplicaciones webs que utilicen datos de gran importancia, como es el caso de entidades bancarias o de tiendas online.
Esta última semana, este protocolo ha subido un importante revés, al sufrir un ataque, lo que ha puesto al descubierto una vulnerabilidad que se desconocía hasta ahora.
En una conexión HTTPS, un navegador muestra sin problemas una web solo si esta incluye un certificado de seguridad firmado por una agencia independiente que garantice su autenticidad. El ataque parece venir debido a que una agencia emitió certificados fraudulentos, por un robo de sus claves, que permitieron al atacante crear páginas que parecían verdaderas, realizando de esta forma ataques phising contra los usuarios para intentar lograr capturar información relevante de estos usuarios.
La entidad certificadora que emitió este tipo de certificados fue Comodo, y fue la que avisó de esta situación. Al parecer, los certificados emitidos eran para compañías tan importantes como Microsoft, Mozilla, Google, Skype y Yahoo.
Tras darse cuenta de este problema, Comodo procedió a la cancelación de esos certificados y notificó el grave problema a ese grupo de empresas.
A pesar de este percance, este sigue siendo el protocolo más seguro para poder trabajar con información de gran importancia, debido a la encriptación que permite.
Si estás pensando en montar algún tipo de negocio online, desde Hostalia te aconsejamos la contratación de este tipo de certificado seguro, para poder ofrecer a tus clientes más seguridad de la que tendrían si utilizaran el protocolo HTTP, donde la información va sin encriptar.
En realidad no fue el protocolo HTTPS el que sufrió un ataque. Fue un error garrafal por parte de una entidad certificadora emitir unos certificados sin los debidos procedimientos de verificación. 🙂
Hola,
Efectivamente fue así. Tal y como indicamos en la entrada, el problema vino por un error de la empresa certificadora, a la que substrajeron las claves y con las que emitieron certificados fraudulentos. Una vez emitidos estos certificados, fue cuando los atacantes pudieron hacer sus fechorías.
Saludos y gracias por los comentarios
Efectivamente no fue el protocolo HTTPS el que sufrió un ataque. La entidad certificadora sufrió un robo de sus claves y fueron con esas, con las que emitieron certificados fraudulentos
Da que pensar, verdad? estamos expuestos incluso si nuestros datos estan en Empresas certificadoras.
Saludos