Blog de Matias Katz Info de IT para la gente Comun, Info Comun para la gente de IT

HTTPS ya no es más sinónimo de Seguridad

El método mas utilizado para prevenir ataques de phishing a sitios online importantes es la revisión del uso de SSL en la transacción, mediante el checkeo de la letra "S" al final del "HTTP" en la barra de dirección:

El uso de SSL significa que la transacción se llevaría a cabo de manera encriptada, asegurando así la información en cuestión.

Recientemente se publicó la noticia de que Microsoft aceptaría como válidos los certificados emitidos por StartCom, empresa que provee certificados SSL de manera gratuita.

Esto presenta un grave problema, ya que hasta ahora el hecho de que un sitio tuviera SSL significaba una tranquilidad para el usuario, porque para obtener un certificado de un ente avalado por Microsoft había que cumplir ciertas regulaciones y presentar información de la persona/empresa que peticionaba.

Al poder cualquiera obtener un certificado de una empresa certificada por Microsoft, se habilita a un atacante a generar un sitio de phising que incluya SSL como un método mas de confusión y engaño, ya que aunque la información se traslade encriptada, al momento de llegar al servidor de destino dicha información es desencriptada.

Los navegadores menos difundidos, como ser Firefox o Chrome, ya aceptaban estos certificados con anterioridad.

Pero el gran problema pasa cuando el grande de grandes, Microsoft, cuyo navegador web es utilizado por el mayor porcentaje de usuarios de la web (y por ende mayor porcentaje de potenciales víctimas) cae dentro del grupo de navegadores que aceptan como válidos los certificados obtenidos gratuita y libremente.

Gracias a esto (o por culpa de esto) se establecieron nuevos standards para los conceptos de SSL:

• Al acceder a un sitio que posea un formulario donde se ingresa información personal, debe verificarse que el mismo utilice el protocolo HTTPS --- VERDADERO
• Un sitio donde se ingresa información confidencial que no posee HTTPS no es seguro --- VERDADERO
• Utilizando el protocolo HTTPS, la información es cifrada --- VERDADERO
• Siempre que un sitio posea HTTPS será seguro --- FALSO

Video demostración del ataque:

Fuente: ESET