27 de septiembre de 2011
¿El cifrado SSL/TLS es totalmente seguro?
A la hora de navegar por la red, en numerosas ocasiones, podemos ver que en la barra de direcciones, en vez de aparecer HTTP, aparece delante de la dirección HTTPS. Esto nos indica que la información que se mande vía esa aplicación, irá encriptada mediante un certificado de seguridad, que utiliza el protocolo SSL para tal fin.
Un certificado de seguridad SSL se instala a nivel de dominio dentro del alojamiento web, y con esto lo que se consigue es dar más seguridad a los usuarios que visitan nuestras páginas webs.
Desde Hostalia nos hemos hecho eco de una noticia, en la que se asegura que dos investigadores, afirman haber encontrado la forma de romper el cifrado SSL/TLS que garantiza la fiabilidad y privacidad de los datos que se intercambian entre los navegadores web y los servidores, aunque esto no es una tarea sencilla de lograr.
Los investigadores, Thai Duong y Juliano Rizzo, han demostrado su Browser Exploit Against SSL/TLS (Beast) en la conferencia de seguridad Ekoparty. En este evento, han explicado que las dos últimas versiones del protocolo, la 1.1 y la 1.2, son totalmente seguras, pero no así la versión anterior 1.0. Esta versión es la que utilizan la mayoría de las páginas webs, servicios de mensajería y VPN’s.
La aplicación que han mostrado, consiste en un código JavaScript que funciona como un Sniffer de red, que se utiliza para descifrar las cookies que llevan las credenciales de los usuarios para acceder a sus cuentas.
Estos dos investigadores están trabajando con proveedores de navegadores y de SSL para solucionar este problema, aunque por ahora, los parches propuestos, han mostrado que no son compatibles con todas las aplicaciones que hacen uso de este protocolo.
Las palabras «totalmente seguro» no existen como tal, ¿qué hay seguro en la vida? Nada. En cuanto al SSL lo importante es que a día de hoy es la forma más segura de poder entablar comunicaciones y lo que demuestran estos hackers, pues ahí está, pero en muchas ocasiones más que muestras son amenazas para conseguir puestos de trabajo o notoriedad. ¿Cuántas veces hemos escuchado la cais total destrucción de la informática?