¿Qué es un certificado de CA y cómo funciona?

[ware_item id=33][/ware_item]

Una ilustración de un certificado de CA.


Recientemente, el gobierno de Kazajstán forzó temporalmente a los ciudadanos a instalar una Autoridad de Certificación (CA) que permitió al estado descifrar todo el contenido y las comunicaciones en un ataque de hombre en el medio.

El certificado incluso permitió al gobierno alterar los datos y engañar a los usuarios para que ejecuten y descarguen virus y spyware. La iniciativa del gobierno de Kazajstán puede haber fallado por ahora, pero la amenaza es real.

Las autoridades de certificación explicaron

Una autoridad de certificación verifica que un sitio web es lo que dice que es cuando encripta datos entre sus servidores y usted. La CA firmará el certificado de encriptación del sitio web, que se presenta al usuario cada vez que se abre un sitio web.

El certificado ExpressVPN, firmado por una Autoridad de certificación (Amazon).

Los proveedores de navegadores y sistemas operativos no pueden validar la propiedad de todos los sitios web por sí solos, por lo que delegan eso en varias CA de confianza. Todas las CA deben tener procesos y controles establecidos para garantizar que los certificados solo se emitan al propietario legítimo de un dominio.

Por ejemplo, cuando visita el sitio web de su banco, desea asegurarse de que realmente está usando el sitio web de su banco y no un impostor. Por lo tanto, su navegador verificará que el certificado presentado por el sitio web sea emitido por una CA confiable, formando así una "cadena de confianza" que proporcione pruebas de que realmente está utilizando el sitio correcto.

En el pasado, ha habido varios casos en los que los proveedores de navegadores y sistemas operativos han quitado los derechos a las CA porque demostraron ser incompetentes o maliciosos en la forma en que emitieron los certificados. Si la autoridad de certificación firma solicitudes para otros, como estados nacionales o piratas informáticos, el sistema no funciona.

Su computadora viene con un conjunto de autoridades de certificación preinstaladas, mientras que Firefox usa su propia lista, revisada por sus propios expertos. Kazajstán ha estado tratando de incluir su autoridad de certificación maliciosa en Firefox, pero Mozilla declinó cortésmente. La CA no está incluida en ningún otro navegador principal, pero es posible agregar cualquier CA manualmente. Los desarrolladores de navegadores son conscientes de esta laguna, y algunos proponen bloquear permanentemente las CA maliciosas y hacer que sea imposible para los usuarios instalarlas o eludir las restricciones.

Una autoridad de certificación falsa

Al crear su propia autoridad de certificación y darse a sí mismo la capacidad de hacerse pasar por cualquier sitio que desee, el gobierno kazajo está intentando eludir esta importante cadena de confianza.

Siempre que controle el flujo de datos, puede presentar cualquier servidor como "legítimo" y usarlo para suplantar sus credenciales. Por ejemplo, el certificado válido de twitter.com demuestra que realmente está conectado a Twitter y que es seguro ingresar su nombre de usuario y contraseña. Sin embargo, si su computadora confía en una CA falsa, alguien más podría dirigir su conexión a su propio servidor mientras se hace pasar por Twitter.

¿Qué es un certificado HTTPS??

El Protocolo seguro de transferencia de hipertexto (HTTPS) es un protocolo utilizado para cifrar sitios web. Cuando navega a un sitio web que admite HTTPS (en este momento, la mayoría de todos los sitios), se configura un canal encriptado entre su dispositivo y el servidor del sitio web, asegurándose de que nadie en el medio pueda leer sus contraseñas o información confidencial. Esta medida de seguridad a menudo se indica con un candado en la barra de direcciones del navegador.

Para verificar que su computadora esté conectada a un sitio web de un banco real y no a un clon, el certificado HTTPS está firmado por una CA. Cuando navega al sitio, el servidor presentará una firma electrónica que muestra que la autoridad ha verificado que pertenece al sitio web que está intentando visitar..

Dado que HTTPS es muy confiable cuando no se subvierte, una gran mayoría de sitios web y aplicaciones confían únicamente en la seguridad proporcionada por HTTPS para mantener los datos seguros en tránsito.

El cifrado funciona

Un cifrado tan simple como HTTPS puede tener un profundo efecto en la seguridad y la privacidad en línea, por lo que los regímenes autoritarios son propensos a atacarlo..

Especialmente en estados con sistemas legales poco confiables y una falta de rendición de cuentas al poder, no podemos confiar en los gobiernos con acceso a nuestros datos privados. Como han demostrado innumerables ejemplos, la información privada (como la información de la tarjeta de crédito y los mensajes privados) pasará a manos de los departamentos regionales, luego a los funcionarios individuales y, finalmente, al crimen organizado, donde amenaza la estabilidad de la sociedad..

¿Qué es un certificado de CA y cómo funciona?
admin Author
Sorry! The Author has not filled his profile.