{"id":615,"date":"2013-05-07T21:24:04","date_gmt":"2013-05-07T21:24:04","guid":{"rendered":"http:\/\/kasperskydaily.com\/mexico\/?p=615"},"modified":"2014-03-26T17:32:48","modified_gmt":"2014-03-26T17:32:48","slug":"explicativo-certificados-digitales-y-https","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/explicativo-certificados-digitales-y-https\/615\/","title":{"rendered":"Explicativo: Certificados Digitales y HTTPS"},"content":{"rendered":"

Debemos reconocer que el sistema actual de certificados digitales es complicado, complejo y pol\u00e9mico. Los certificados digitales, las firmas que contienen y las autoridades de certificaci\u00f3n que avalan, son la base de la confianza y la autenticaci\u00f3n en l\u00ednea. Ir\u00f3nicamente, es bien conocido en toda la industria que la autoridad de certificaci\u00f3n actual y el sistema de firma digital est\u00e1n irremediablemente rotos y lamentablemente inadecuados. Sin embargo, aqu\u00ed estamos, confiando en ellos para hacer pagos y comunicarnos los unos con los otros diariamente.<\/p>\n

\"https_title\"<\/a><\/p>\n

Entonces\u2026 \u00bfqu\u00e9 es \u201cHTTPS\u201d y qu\u00e9 son los certificados digitales?<\/b><\/p>\n

\u201cHTTPS\u201d significa Hypertext Transfer Protocol Secure (en espa\u00f1ol, Protocolo seguro de transferencia de hipertexto). Es la variedad segura del protocolo de transferencia de hipertexto que, a su vez, es la base de c\u00f3mo movemos datos en la World Wide Web. B\u00e1sicamente, conectarse a un website v\u00eda \u201cHTTPS\u201d (en lugar de conectarse a trav\u00e9s del conocido \u201cHTTP\u201d) significa que cualquier dato que intercambies con dicho sitio pasar\u00e1 por encima de la seguridad de la capa de transporte encriptada (TLS) o su predecesora, la capa de conexi\u00f3n segura (SSL). Las conexiones \u201cHTTPS\u201d se encuentran se\u00f1alizadas con un peque\u00f1o \u00edcono de un candado en alg\u00fan lugar de tu barra de direcciones, o en la \u201cs\u201d luego del \u201chttp\u201d en la URL. \u201cHTTPS\u201d significa que cualquier dato que pases por un website estar\u00e1 encriptado mientras se mueva.<\/p>\n

Puedes tipear \u201cHTTPS\u201d en la barra de direcciones de cualquier sitio web Viejo. Si el sitio posee un certificado v\u00e1lido, entonces el servidor en donde se encuentre alojado el sitio web presentar\u00e1 ese certificado a tu navegador (que ha construido una lista de emisores de certificados confiables) y nada realmente notable suceder\u00e1. Dependiendo del navegador, podr\u00eda aparecer un peque\u00f1o candado en alg\u00fan lugar de la barra de direcciones en el que podr\u00e1s hacer clic para averiguar cierta informaci\u00f3n acerca del certificado y de su emisor. Sin embargo, si tratas de acceder a la versi\u00f3n en \u201cHTTPS\u201d de un sitio web que no posea un certificado v\u00e1lido, entonces ver\u00e1s un alerta de SSL como esta:<\/p>\n

\"badsslcert\"<\/a><\/p>\n

Aqu\u00ed la parte complicada: una llave de certificado p\u00fablica es una declaraci\u00f3n electr\u00f3nica que contiene una firma digital que, en palabras de Google, \u201cune el valor de una llave p\u00fablica con la identidad de la persona, dispositivo o servicio que posee la llave privada correspondiente\u201d. No iremos demasiado lejos en la madriguera del conejo de la criptograf\u00eda, pero pensemos en las llaves privadas como las encargadas de realizar el cifrado, y las llaves p\u00fablicas como las encargadas de realizar el des-cifrado. Entonces, el servicio con el que estes intercambiando datos (el sitio web) pasa los datos que quieras ver a trav\u00e9s de una llave privada, que convierte esa informaci\u00f3n en algo ilegible mientras viaje a trav\u00e9s del servidor del sitio web hasta tu computadora. Tu navegador tiene la llave p\u00fablica, que toma esos datos ilegibles y los hace legibles. Cuando estas transformando datos de tu computadora a un sitio web, el proceso es m\u00e1s o menos el mismo (s\u00f3lo que al rev\u00e9s).<\/p>\n

Volviendo a los certificados: un certificado digital contiene, por lo general, informaci\u00f3n del sitio o servicio para quien ese certificado fue expedido, la informaci\u00f3n de identificaci\u00f3n del emisor, un per\u00edodo de validez indicando cu\u00e1ndo el certificado fue emitido y por cu\u00e1nto tiempo ser\u00e1 v\u00e1lido, y una firma de algoritmo \u00fanico. Esta firma es parte del certificado que confirma que realmente est\u00e1s comunicandote con quien sea que te hayas querido comunicar, y que la comunicaci\u00f3n se encripta en la ruta.<\/p>\n

Un certificado v\u00e1lido garantiza que te est\u00e1s comunicando con el sitio o servicio con el que tratas de comunicarte. Cuando ingresas informaci\u00f3n de pago o credenciales de inicio de sesi\u00f3n, o cualquier cosa, en un sitio habilitado para \u201cHTTPS\u201d, el certificado es lo que te dice que la informaci\u00f3n va a la persona o servicio que deb\u00eda ir, y que esa informaci\u00f3n ser\u00e1 encriptada mientras est\u00e9 viajando. Por definici\u00f3n de Google, los certificados autentican, promueven la privacidad, encriptan y, lo m\u00e1s importante, aseguran la integridad del contenido, origen y destino de un mensaje.<\/p>\n

Ahora, para la parte complicada: emisores. Cualquier n\u00famero de organizaciones vende o emite certificados digitales. Se llaman autoridades de certificaci\u00f3n. GoDaddy, VeriSign, y Entrust son tres autoridades de certificaci\u00f3n que inmediatamente vienen a la mente. Podr\u00eda llamarme a m\u00ed mismo una autoridad de certificaci\u00f3n en este momento, y comenzar a vender certificados a diestra y siniestra si quisiera. El problema es que nadie confiar\u00eda en mis certificados. Ese es el problema con las autoridades de certificaci\u00f3n: s\u00f3lo son buenas si son confiables. Puedes ir a las configuraciones de tu navegador ahora mismo y echar un vistazo a todos los certificados que tu navegador considera confiables.<\/p>\n

\u00bfTodav\u00eda no es lo suficientemente complejo? Bueno, hablemos de los certificados de ra\u00edz. Estos son confiables por default en casi todos los navegadores. Tambi\u00e9n tienen el poder de extender su confiabilidad a otras autoridades de certificaci\u00f3n. Digamos que un joven llamado Larry emite certificados y es una autoridad de certificaci\u00f3n de ra\u00edz. Tu navegador va a confiar en cualquier certificado que emita Larry. Tu navegador tambi\u00e9n va a confiar en cualquier otro certificado que Larry avale. Hay una gran variedad de autoridades de certificaci\u00f3n all\u00e1 afuera, y esto es lo que se nos ha ocurrido por verificarlas. Hemos dejado que las 36 (aprox) autoridades de certificaci\u00f3n confiables decidan cu\u00e1les otras autoridades de certificaci\u00f3n son confiables y todos vivieron felices para siempre. S\u00f3lo bromeaba, la situaci\u00f3n de los certificados de SSL\/TLS es un absoluto desastre.<\/p>\n

Y siguiendo con la controversia: esta estructura de autoridades de certificaci\u00f3n es la base de la confianza en casi todo lo que hacemos en internet, y es algo que tambi\u00e9n est\u00e1 totalmente roto. Las brechas a grandes autoridades de certificaci\u00f3n como DigiNotar y Comodo y la revelaci\u00f3n de que no uno, sino dos de ellos, validaron certificados falsos emitidos por el virus Stuxnet, ha dejado en claro que se necesita un nuevo sistema. El investigador de seguridad Moxiw Marlinspike ha sugerido que su sistema de \u201cConvergencia SSL\u201d es la soluci\u00f3n al problema de los certificados. A pesar de que Convergente haya debutado en la conferencia de \u201cBlack Hat Security\u201d hace casi dos a\u00f1os, seguimos confiando en el sistema de certificados que est\u00e1 da\u00f1ado. Es casi como si estuvi\u00e9ramos asumiendo lo mejor de los certificados que operan de fondo mientras nos comunicamos y gastamos dinero online. Cada tanto escuchamos acerca de una brecha de seguridad en una autoridad de certificaci\u00f3n, nos lamentamos y digerimos el problema, y en \u00faltima instancia, lo superamos sin haber solucionado nada.<\/p>\n","protected":false},"excerpt":{"rendered":"

Debemos reconocer que el sistema actual de certificados digitales es complicado, complejo y pol\u00e9mico. Los certificados digitales, las firmas que contienen y las autoridades de certificaci\u00f3n que avalan, son la<\/p>\n","protected":false},"author":13,"featured_media":617,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[5],"tags":[287,286,285,291,290,288,289],"class_list":{"0":"post-615","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-tips","8":"tag-certificacion","9":"tag-certificadores","10":"tag-certificados-digitales","11":"tag-http","12":"tag-https","13":"tag-ssl","14":"tag-tsl"},"hreflang":[{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/explicativo-certificados-digitales-y-https\/615\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/latam.kaspersky.com\/blog\/tag\/certificacion\/","name":"certificaci\u00f3n"},"_links":{"self":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/615","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/users\/13"}],"replies":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/comments?post=615"}],"version-history":[{"count":0,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/615\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media\/617"}],"wp:attachment":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media?parent=615"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/categories?post=615"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/tags?post=615"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}