Si alguna vez has realizado una compra online, has comprobado tus cuentas bancarias a través de una app o te has registrado online en tu red social favorita, has utilizado un protocolo criptográfico llamado SSL/TLS. Es decir, la S de HTTPS.
SSL es la forma de cifrar la comunicación entre el navegador y la página web visitada. Es crucial asegurarse de que esto es así, ya que de esta manera los hackers y delincuentes cibernéticos no pueden acceder al tráfico web que se genera. Sin embargo, todavía existe una cierta confusión en torno a la criptografía y al cifrado en Internet.
¿Cómo lo sabemos?
Como usuario, confiamos en nuestro navegador cuando nos indica si una página web es segura o no. Para ello, el propio sistema comprueba que no haya amenazas malware, activa el javascript malicioso y (en páginas web de seguridad) establece una conexión cifrada.
Desgraciadamente, debido a las complejidades de la encriptación, averiguar la validez de una conexión se ha convertido en una combinación entre el icono tradicional del candado, una dirección URL de color verde y la palabra “seguro”. Muchos navegadores llegan incluso más allá y destacan sus links URL cuando el usuario navega por una página web cuyo cifrado no puede verificar.
¿Pero, qué sucede en realidad? ¿Qué hace que una website se califique como segura?
Certificados
Una página web que se utiliza HTTPS vuelca su contenido acompañado de un certificado digital que confirma su identidad. Este contiene un cúmulo de información que puede agruparse en dos tipos: dos grandes números primarios (uno privado, otro público) e información diseñada para ayudar al usuario a confiar en esos dos números.
Los números son necesarios para una técnica denominada “intercambio de clave”. Se trata de un proceso matemático que permite a dos entidades (en este caso, el propio usuario y el site que visita) generar un código oculto compartido sobre un canal público (Internet).
El resto de la información sirve para ayudar al usuario y al navegador a verificar que la página web que se visita es realmente el site correcto. Esto se logra a través de una cadena de confianza que incluye el certificado de la página web visitada, un certificado de autoridad y un certificado raíz en la cual confía el sistema operativo o el navegador.
La cadena de confianza funciona como suena. El certificado raíz se verifica a través de una multinacional, como Microsoft, Apple o Mozilla. Sucesivamente, emiten certificados de firma a un grupo de autoridades de certificación. Estas son las organizaciones que venden o emiten las certificaciones a los propietarios de las páginas web.
Los propietarios de los sitios tienen que demostrar a las autoridades de certificación que efectivamente, ellos son poseedores de la página en cuestión y a continuación, obtienen el certificado para permitir al usuario navegar por ella.
¿Qué pasa con los links más débiles?
Cuando visitas un sitio seguro, tu navegador obtiene el certificado digital desde la página en cuestión. Por ejemplo, en dominios .com, el certificado alega que fue emitido por CA01. El navegador identifica CA01 como un código seguro y confía en el site ya que este pertenece a la lista de Microsoft, Apple o Mozilla.
Tras comprobar con CA01, el usuario es consciente de que el certificado contiene una línea segura en el dominio .com. Este proceso concluye con el icono de candado o con la URL en color verde en el navegador.
Actualmente, este sistema no es infalible. Un ataque cibernético puede secuestrar el dominio.com y servirse de otro certificado que resulta tan válido como el verdadero. Como en cualquier sistema de seguridad, existen compensaciones en HTTPS, pero en este caso la seguridad está garantizada.
Alerta US-CERT
Recientemente, US-CERT (la organización que informa a los usuarios sobre los asuntos referentes a la seguridad digital y amenazas actuales) difunde una alerta (TA17-075A) con el propósito de destacar casos desarrollados positivamente con un control de seguridad alto, generalmente desplegado por las empresas.
La mejor forma de actuar por parte de los usuarios es que naveguen por la web con una conexión encriptada, aunque si se trata de un entorno corporativo puede traer consigo nuevos retos. A pesar de que los bancos y las apps hayan optado por utilizar códigos de encriptación a la hora de ayudar a sus clientes, los cibercriminales también se sirven de ellos para perjudicar a los usuarios.
Cuando se establecen medidas de protección en las redes empresariales, es común que se desplieguen tecnologías para interceptar conexiones HTTPS (normalmente a través de portales web o salidas proxy). El objetivo no es controlar a los usuarios, sino asegurarse que pueden bloquear amenazas de malware y otros contenidos maliciosos.
Para ello, la tecnología de interceptación añade otro link a la cadena de confianza.
US-CERT ha emitido una alerta basada en las últimas investigaciones realizadas por la Universidad de Carnegie Mellon (CMU). En este estudio, buscaban una serie de productos que incorporaran esta tecnología y se encontraron con que hay varios problemas significativos que derivan a una navegación menos segura por parte de los usuarios.
Problemas de intercepción
Trend Micro ha observado recientemente que se exige una alta complejidad para lograr un simple candado o URL de color verde. El estudio de CMU demuestra que cuando se activa una tecnología de interceptación, es posible que ese simple indicador resulte engañoso. Puede simular que las búsquedas de contenidos de los usuarios son seguras cuando, en realidad, no lo son, y eso es lo último que quieren descubrir tanto los usuarios como los equipos de seguridad IT.
CMU destaca siete casos específicos en su estudio, pero se centra en uno en concreto.
Figura 3: Diagrama de la cadena de confianza del certificado SSL/TLS con interceptación y el caso destacado
Las herramientas de interceptación no gestionan correctamente errores de certificados de validación, lo que supone una completa ruptura de confianza en la cadena.
Siguientes pasos
El asesor US-CERT recomienda probar cualquier solución de interceptación, como https://badssl.com/. Es una herramienta idónea que permite ver cómo el navegador gestiona varios problemas relacionadas con SSL/TLS. La herramienta de interceptación en activo identifica todos los escenarios posibles y se asegura de que están gestionadas de manera correcta.
A continuación, Trend Micro ofrece varios consejos para un correcto funcionamiento de una herramienta de interceptación:
- Prueba la herramienta antes de incluirla en tus procesos de producción
- Opta por páginas web de confianza como los portales de los principales bancos o instituciones financieras.
- Elabora un plan de comunicación sólido que explique de forma clara el cómo y el por qué del uso de la herramienta a tu comunidad de usuarios
La tecnología de interceptación puede ayudar a las empresas a defenderse de la presencia de malware y ataques de cibercriminales, siempre y cuando no existan amenazas mayores (tal y como advierte US-CERT). En este caso, una pequeña planificación y una cierta previsión pueden marcar la diferencia.
Mark Nunnikhoven
Vicepresidente de investigación cloud de Trend Micro
